Notizie
CVE contro KEV: perché i numeri sulla crescita delle vulnerabilità non raccontano tutta la storia
Ogni anno il mondo della cybersecurity pubblica più vulnerabilità che mai. Il database CVE continua a crescere a un ritmo impressionante e gli scanner di vulnerabilità segnalano diligentemente migliaia di risultati nelle dashboard di tutto il mondo.
Allo stesso tempo, un elenco molto più piccolo, il catalogo delle Known Exploited Vulnerabilities (KEV), cresce molto più lentamente.
Questo solleva una domanda importante per i team di sicurezza e per chi prende le decisioni:
Se ogni anno le CVE esplodono di numero, perché il KEV non segue la stessa curva? E, cosa ancora più importante: su quale dei due dovrebbero davvero concentrarsi le organizzazioni?
Questo grafico illustra le curve di crescita divergenti del database CVE e del catalogo Known Exploited Vulnerabilities (KEV) tra il 2021 e il 2025. Mentre il volume delle CVE cresce rapidamente per via della scala di divulgazione e dell'automazione, il KEV cresce lentamente come insieme curato di vulnerabilità attivamente sfruttate in the wild. Questa differenza sottolinea perché la prioritizzazione basata sul rischio conta più dei semplici conteggi grezzi delle vulnerabilità.
La crescita delle CVE riflette la divulgazione, non il pericolo
Il sistema Common Vulnerabilities and Exposures (CVE) non è mai stato progettato per misurare il rischio reale. Il suo scopo è la trasparenza. Non appena una vulnerabilità viene divulgata responsabilmente e convalidata, può ricevere un identificatore CVE, indipendentemente dal fatto che gli attaccanti mostrino mai interesse per essa.
Questa scelta di progettazione spiega la ripida curva di crescita. Negli ultimi anni, il numero di CVE appena pubblicate è passato da circa 20.000 nel 2021 a oltre 31.000 nel 2024, e il 2025 continua quell'accelerazione con più di 33.000 CVE pubblicate. Questo significa che il panorama globale delle vulnerabilità si espande ora di circa novanta nuove CVE ogni singolo giorno, la maggior parte delle quali divulgate molto prima che qualcuno sappia se gli attaccanti mostreranno mai un qualche interesse.
La crescita continua nel 2025 è in gran parte trainata da una maggiore automazione nella scoperta delle vulnerabilità, un numero crescente di CVE Numbering Authorities (CNA) e una maggiore visibilità sul software della supply chain e cloud-native, piuttosto che da un'improvvisa ondata di tecniche di attacco realmente nuove.
L'ecosistema CVE, coordinato dal CVE Program (https://nvd.nist.gov/general/cve-process), fa un lavoro eccellente nel catalogare tutto ciò che potrebbe non andare. Ma quella completezza ha un costo: volume senza prioritizzazione.
Per le organizzazioni, questo si traduce spesso in lunghi arretrati di vulnerabilità, cicli di patch infiniti e dashboard piene di risultati "critici" che potrebbero non essere mai sfruttati.
Il KEV cresce lentamente perché gli attaccanti sono selettivi
Il catalogo Known Exploited Vulnerabilities (KEV) esiste per una ragione molto diversa. Mantenuto dalla CISA (https://www.cisa.gov/), il KEV include solo vulnerabilità che sono attivamente sfruttate in the wild e supportate da prove credibili.
La crescita del catalogo Known Exploited Vulnerabilities racconta una storia molto diversa. Dalla sua introduzione nel 2021, il KEV si è espanso da circa 300 voci a circa 1.200 entro la fine del 2024. Nel 2025, il catalogo è cresciuto ulteriormente fino a circa 1.350 vulnerabilità note come sfruttate. Rispetto alle decine di migliaia di CVE pubblicate nello stesso periodo, il KEV continua a rappresentare ben meno del due percento del panorama complessivo delle vulnerabilità, eppure cattura una quota sproporzionatamente grande dell'attività di attacco reale.
Questa crescita lenta non è una debolezza. Riflette una verità fondamentale sul cybercrime: gli attaccanti non inseguono ogni vulnerabilità. Si concentrano su ciò che è affidabile, scalabile e redditizio. Una volta che un exploit funziona, tende a essere riutilizzato, a volte per anni.
In altre parole, il KEV rispecchia il comportamento degli attaccanti, non il volume di divulgazione.
Perché una crescita uguale sarebbe un campanello d'allarme
Se il KEV crescesse alla stessa velocità delle CVE, in realtà indicherebbe un problema. Vorrebbe dire o che ogni vulnerabilità viene istantaneamente trasformata in un'arma (cosa che non accade), oppure che il KEV ha perso il suo potere di filtro.
La CVE risponde alla domanda "Cosa esiste?"
Il KEV risponde alla domanda molto più urgente "Cosa viene usato contro le organizzazioni proprio ora?"
Capire questa distinzione è cruciale per la gestione moderna delle vulnerabilità.
Il nostro punto di vista: le vulnerabilità teoriche non equivalgono a rischio reale
In Guardian360, crediamo che le organizzazioni spendano troppo tempo a inseguire il rischio teorico.
La gestione tradizionale delle vulnerabilità spesso tratta tutte le CVE come uguali, basandosi molto sui punteggi CVSS e sui conteggi grezzi. Questo approccio sembra scrupoloso sulla carta, ma in pratica porta a stanchezza da patching, uso inefficiente delle risorse e un falso senso di controllo.
Una CVE ad alta gravità che non viene mai sfruttata non rappresenta lo stesso rischio di una vulnerabilità con punteggio moderato che gli attaccanti stanno abusando attivamente. Eppure molti strumenti danno ancora priorità alla prima rispetto alla seconda.
Ecco perché crediamo fermamente che le organizzazioni dovrebbero spostare la loro attenzione da "Quante vulnerabilità abbiamo?" a "Quali vulnerabilità minacciano davvero la nostra attività?"
Come Guardian360 Lighthouse supporta la prioritizzazione basata sul rischio
La piattaforma Guardian360 Lighthouse è costruita esattamente attorno a questo principio. Invece di sommergere partner e clienti con elenchi infiniti di vulnerabilità, Lighthouse si sta evolvendo verso un modello di scansione e prioritizzazione basato sul rischio.
Combinando:
- dati tecnici sulle vulnerabilità (CVE),
- intelligence sullo sfruttamento (come il KEV),
- e contesto di business (rilevanza degli asset, esposizione e impatto),
Lighthouse aiuta i partner a concentrare gli sforzi di remediation dove contano di più. Questo si allinea naturalmente con framework moderni come ISO 27001 e NIS2, che enfatizzano sempre più il processo decisionale basato sul rischio rispetto alla compliance da checklist.
L'obiettivo non è meno scansioni, ma risultati più intelligenti.
Leggere correttamente le curve di crescita
La differenza visiva tra le curve di crescita di CVE e KEV racconta una storia chiara. Una linea sale ripida, trainata dalla divulgazione e dalla trasparenza. L'altra sale lentamente, trainata dall'abuso confermato nel mondo reale.
Quel divario non è qualcosa da "risolvere". È qualcosa da usare.
Perché ridurre il rischio informatico non significa correggere tutto ciò che potrebbe andare storto, significa affrontare ciò che sta andando storto.
Riflessione finale
La CVE ci dà visibilità.
Il KEV ci dà focus.
E le piattaforme basate sul rischio come Guardian360 Lighthouse esistono per colmare quel divario, così le organizzazioni possono passare meno tempo a reagire al rumore e più tempo a ridurre il rischio reale e misurabile.