Nel 2026 le vulnerabilità hanno più che raddoppiato il proprio peso sul totale delle esposizioni critiche, con una progressione che ha portato dal precedente 18,7% all’attuale 42,6%. Di pari passo, i siti di phishing sono saliti dall’1% al 10,5% del totale, ridisegnando la superficie d’attacco delle organizzazioni. Tutto questo genera una ingente quantità di alert, di cui però solo il 7,8% merita davvero una classificazione Critical o High dopo la validazione dell’exploitabilità. Il resto genera rumore che spreca tempo e risorse dei team di sicurezza e alimenta l’exposure gap.

I dati provengono dall’Exposure Gap Report 2026 di Check Point che parte da un punto fermo: gli attaccanti stanno sfruttando automazione e strumenti di testing assistiti da AI per individuare punti di ingresso in rete, sperimentando su vulnerabilità, credenziali, infrastrutture di phishing. La conseguenza è che chi difende ha a disposizione una finestra temporale sempre più stretta per scoprire, validare e correggere le esposizioni prima che si traducano in impatti operativi. Questo scarto tra visibilità, prioritizzazione e remediation è sintetizzato nel report con il termine exposure gap.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

Il report insiste su tre passaggi: una scoperta il più possibile ampia (non solo vulnerabilità, ma anche informazioni interne esposte, phishing, credenziali e token compromessi, domini lookalike e così via), una prioritizzazione fondata sull’exploitabilità reale e sul contesto di business, e infine una remediation sicura, che faccia leva sui controlli già presenti senza generare downtime. In particolare, il rischio si concentra fra vulnerabilità e Internal Information Disclosure, che insieme rappresentano circa il 76% di tutte le esposizioni critiche rilevate nel 2026. I phishing website coprono il 10,5% e le restanti tipologie si distribuiscono sotto alla doppia cifra.

Le vulnerabilità, che un anno fa erano al 18,7% delle esposizioni critiche, diventano la categoria dominante, mentre l’Internal Information Disclosure scende dal 56,8% al 33,3% e i file malevoli passano dal 18,3% a un 4,6%. Come visto sopra, nello stesso arco temporale crescono i siti di phishing, segno che le infrastrutture di phishing sono ormai un pilastro della kill chain che merita la stessa attenzione riservata alle CVE ad alto impatto.

Divisione per settori

La lettura per settore mette in luce come la stessa tipologia di minaccia si declini in modo differente a seconda dei vincoli di business e delle architetture IT. Utilities, Government e Manufacturing presentano profili guidati dalle vulnerabilità: nelle Utilities il 78,2% delle esposizioni critiche è riconducibile a debolezze sfruttabili, nel Government la quota è del 56,4% e nel Manufacturing del 52,9%.

All’estremo opposto, Healthcare, Telecom, Technology & IT e Financial Services sono guidati dall’Internal Information Disclosure. La sanità è il caso più estremo: il 63,6% delle esposizioni critiche rientra in questa categoria, seguita da Telecom al 58,9%, Technology & IT al 53,1% e servizi finanziari al 42,7%. Qui il problema non è tanto la singola CVE quanto la dispersione di asset informativi sensibili quali file esposti, codice sorgente accessibile, risorse cloud mal configurate, dati che finiscono in aree pubbliche senza adeguati controlli.

Il settore finanziario si distingue per un profilo di rischio particolarmente composito, con l’Internal Information Disclosure che resta al primo posto con il 42,7% delle esposizioni critiche, ma i file malevoli pesano per il 27,8%, mentre credenziali dipendenti compromesse e vulnerabilità si attestano entrambe intorno al 9%, affiancate da token e phishing che completano il quadro.

Exposure management

In parallelo all’evoluzione della superficie di esposizione, cambia anche la velocità con cui gli attaccanti si muovono lungo la kill chain. Il report richiama il gap crescente tra Mean Time to Exploit e Mean Time to Remediate: mentre la remediation rimane bloccata intorno ai 60 e più giorni, le tempistiche di sfruttamento scendono fino a entrare in territorio negativo, con attaccanti che riescono a sfruttare vulnerabilità prima ancora che sia disponibile una patch. Quando il tempo medio di exploit supera all’indietro il momento del rilascio della correzione, la finestra del difensore non è più un rischio potenziale, ma un breach già in corso.

È in questo contesto che Check Point colloca la necessità di un salto di qualità nella prioritizzazione. L’analisi mostra che, fra gli alert di vulnerabilità, solo il 7,8% merita una classificazione Critical o High dopo un processo di exploitability validation, con i finding High al 6,8% e i Critical all’1%. Senza un meccanismo di validazione, i team di sicurezza rischiano di trattare come equivalenti decine di migliaia di segnalazioni, che disperdono risorse invece di concentrarsi sulle poche debolezze realmente sfruttabili.

Questa logica di validazione non si limita alle vulnerabilità tradizionali. Nel perimetro delle esposizioni non riconducibili a software o configurazioni, il 38,3% degli alert raggiunge una severità Critical o High. Il dato suggerisce che un programma di exposure management maturo deve tenere conto dell’intera catena di attacco, dai domini lookalike che raccolgono credenziali alle configurazioni cloud che espongono dati, passando per file infetti e identità compromesse che possono supportare movimenti laterali e abusi di account.

Una volta selezionate le esposizioni davvero urgenti, la sfida si sposta sulla capacità di trasformare i risultati convalidati in remediation. È qui che il report introduce il concetto di remediation performance come misura della maturità operativa: oltre che quante vulnerabilità vengono chiuse, conta in quanto tempo e con quale  grado di coerenza il processo riesce a ripetersi su larga scala.

Il confronto tra settori è, da questo punto di vista, impietoso. Nel comparto Utilities, il tempo medio di remediation per le vulnerabilità critiche è di circa 12,6 ore, mentre nel settore Healthcare si arriva a circa 158,8 ore. Government si colloca sui 25,4 ore di MTTR per gli alert critici, mentre i servizi finanziari chiudono con una mediana di 48,5 ore pur gestendo un carico di remediation nettamente più elevato rispetto agli altri settori analizzati.

Se si guarda alla corsa contro il tempo all’interno della prima ora, il quadro si fa ancora più netto. Nelle Utilities, il 30% delle organizzazioni riesce a risolvere le esposizioni critiche entro 60 minuti, nei servizi finanziari la quota è del 23,1%, nel Government del 14,3% e nell’Healthcare si scende al 7,7%. Il dato interessante è che Utilities e Financial Services sono anche i settori con i volumi medi di remediation più alti: circa 2.979 remediation mensili per organizzazione nelle Utility e 10.155 nei servizi finanziari, a fronte dei 2.012 della Pubblica Amministrazione e dei 1.546 della Sanità.

L’efficacia della remediation si misura anche in termini di coerenza nell’implementazione delle azioni raccomandate. Complessivamente, le organizzazioni dei quattro settori monitorati implementano in media l’85,9% delle remediation suggerite dai workflow di exposure management. I servizi finanziari guidano la classifica con il 91,7% di fix effettivamente messi in produzione, seguiti da Healthcare con l’85,5%, Utilities con l’84% e Government con l’82,5%. Il fatto che il settore finanziario riesca a combinare il più alto tasso di implementazione con il maggior volume di remediation e un MTTR sotto le 50 ore viene letto da Check Point come indicatore di workflow ben strutturati e ripetibili.

Particolarmente significativo è il capitolo dedicato ai takedown. Nel 2026, il team di Check Point ha registrato un tasso di successo superiore al 99%, con un MTTR medio di 12 ore e il 78% delle richieste completate entro le 12 ore. Anche qui la logica è quella della riduzione dell’esposizione: eliminare alla fonte siti di phishing, campagne di impersonificazione del brand, applicazioni fraudolente e contenuti che veicolano malware significa impedire agli attaccanti di sfruttare la fase iniziale della kill chain, riducendo in modo tangibile la superficie utile alle loro attività.