Cos'è il time to exploit e perché l'attacco arriva prima della patch?

Il time to exploit (TTE) è il tempo medio che passa fra il rilascio della correzione di una vulnerabilità, cioè la patch, e il primo attacco reale che sfrutta quella falla per entrare in un sistema. Lo definisce così Mandiant, la società di risposta agli incidenti oggi parte di Google, che lo calcola solo sulle vulnerabilità sfruttate davvero, non su tutte quelle pubblicate. Conta soprattutto il segno. Un valore positivo indica quanti giorni restano, in media, per aggiornare prima dell'attacco; un valore negativo indica che l'attacco arriva quando la patch non esiste ancora. Le falle colpite in quella fase si chiamano zero-day, quelle colpite dopo n-day. Secondo Mandiant il TTE era di 63 giorni nel 2018-2019 ed è sceso a cinque nel 2023; il rapporto M-Trends 2026 stima per il 2025 meno sette giorni. In media, oggi, l'attacco precede la correzione.

Leggi anche: Patch management (gestione degli aggiornamenti) · Il processo con cui un'azienda scopre, prioritizza, testa e installa gli aggiornamenti di sicurezza dei propri sistemi, misurato in giorni di esposizione.

Rispetto a cosa si misura

Ogni cifra sul TTE va letta insieme al suo punto di partenza. Il rapporto con cui Mandiant ha introdotto il nome, a settembre 2023, lo definiva rispetto alla divulgazione pubblica della falla; quello successivo rispetto alla patch, pur riportando la stessa serie storica. VulnCheck, società che gestisce un proprio catalogo di vulnerabilità sfruttate, parte invece dalla pubblicazione della CVE, l'identificativo pubblico della falla. Nel suo rapporto di gennaio 2026 il 28,96% delle vulnerabilità entrate nel catalogo nel 2025 risulta sfruttato il giorno della pubblicazione della CVE o prima; nel primo semestre 2026 la quota è stata del 23,43%. Le cifre di VulnCheck e quelle di Mandiant non sono confrontabili: cambiano sia il punto di partenza sia il campione.

Cosa nasconde una media

Il TTE è una media e va maneggiato come tale. I cinque giorni del 2023 escludono 15 casi anomali: includendoli, la media sale a 47. Lo stesso rapporto avverte che le stime sono prudenti, perché si basano sul primo sfruttamento segnalato, spesso con date vaghe, e alcuni attacchi non vengono mai scoperti. Fra le 138 vulnerabilità sfruttate che il rapporto analizza per il 2023, il 70% è stato colpito come zero-day, ed è questa quota a trascinare la media verso il basso. Per le altre la patch serve ancora, a patto di essere rapidi: il 12% è stato sfruttato entro un giorno dalla correzione, il 29% entro una settimana, il 56% entro un mese.

Un esempio enterprise

Un gruppo della logistica chiude le falle già sfruttate entro sette giorni: una finestra rispettabile. Una mattina il produttore del suo gateway VPN, l'apparato da cui i dipendenti entrano in rete da remoto, avvisa che una falla è sotto attacco e che la patch arriverà fra una settimana. Il calendario degli aggiornamenti qui non serve; contano le scelte fatte prima. L'interfaccia di amministrazione dell'apparato non è raggiungibile da internet, la segmentazione della rete impedisce al gateway di comunicare con i server del magazzino e il monitoraggio segnala gli accessi anomali notturni. Il contratto obbliga il produttore ad avvisare subito delle falle sfruttate, indicando le misure temporanee. L'azienda resta esposta per una settimana, ma un intruso troverebbe poco da raggiungere.

Perché conta per chi decide

Un TTE negativo sposta la domanda da "quanto in fretta si aggiorna" a "cosa succede se l'attacco arriva prima della patch". Il patch management resta indispensabile per le falle già corrette, ma non basta. Le altre leve: ridurre ciò che è esposto su internet, compito dell'Attack Surface Management; segmentare, perché da un sistema compromesso si raggiunga poco; adottare misure compensative, come disattivare una funzione, finché la patch manca; monitorare, per accorgersi dello sfruttamento. La stessa logica ispira la direttiva BOD 26-04 della CISA statunitense, emanata a giugno 2026 per le agenzie federali civili: togliere un sistema da internet è una mitigazione valida e sposta più in là il termine per correggerlo. Ai fornitori va chiesto per contratto entro quanto tempo avvisano di una falla sfruttata.