Gruppi APT e operatori ransomware colpiscono gli stessi fornitori di infrastrutture perimetrali, in modo del tutto indipendente l'uno dall'altro. Lo rivela un'analisi congiunta di Tenable e SentinelOne condotta su 93 coppie di vulnerabilità/attaccanti, da cui risulta una sopvrapposizione degli obiettivi pari al 79% sul fronte della vittima, e del 21% sul piano della singola vulnerabilità. Questo dato è importante perché ribalta la narrazione dominante degli ultimi due anni, secondo cui gli attacchi ai dispositivi edge sono una questione prevalentemente legata agli APT cinesi contro fornitori globali quali Ivanti, Fortinet e Palo Alto Networks. I due team di ricercatori sono arrivati alla stessa conclusione partendo da fonti scollegate tra loro e con finalità operative differenti.

Il cuore dell'analisi riguarda dodici vulnerabilità del dataset combinato con attribuzione confermata a più attaccanti, ossia casi in cui APT e gruppi ransomware hanno sfruttato in modo indipendente la stessa falla, distribuiti su cinque categorie: Cina, Russia, Corea del Nord, Iran, ransomware.

Sul fronte dell'esposizione, i dati provenienti dalla piattaforma Tenable One Exposure Management, che ha monitorato migliaia di container clienti su un periodo di 14 mesi, rivela la percentuale di ambienti con almeno un asset vulnerabile a una determinata falla al 15 agosto 2026. Tra i vendor con campioni statisticamente rilevanti, F5 risulta il più esposto in assoluto, con il 53,8% dei 2.784 ambienti monitorati che presenta almeno una vulnerabilità attivamente sfruttata ancora presente. Citrix, mostgra un'esposizione più contenuta, ma i tempi di remediation più lenti in assoluto, con una mediana di 461 giorni per applicare la patch e il 71% degli ambienti interessati che porta ancora vulnerabilità Citrix non risolte dopo un anno intero.

Il quadro intermedio, secondo i ricercatori, è più piatto di quanto ci si aspettasse, con una manciata di vendor . Check Point si attesta al 18,6%, Ivanti al 24,1%, Fortinet al 24,9% e Citrix al 28,8%, tutti raggruppati in una banda di dieci punti percentuali. Un elemento che emerge con chiarezza riguarda la ciclicità dello sfruttamento su alcune linee di prodotto. Ivanti EPMM registra una nuova vulnerabilità attivamente sfruttata ogni 8,5 mesi circa, mentre Ivanti Connect Secure segue un ciclo di 13 mesi. Tenable Research ha pubblicato advisory dedicate a entrambe le sequenze di sfruttamento su Ivanti, e il pattern lascia intendere che la prossima falla su questi prodotti sia più una questione di tempo che di probabilità.

Mappa dell’esposizione per vendor. Fonte: SentinelOne

Sul lato degli attaccanti, il corpus combinato documenta attività riconducibile alle cinque categorie di attaccanti indicate sopra, ognuna delle quali colpisce in modo indipendente gli stessi fornitori. Fortinet presenta la superficie di attacco più ampia in termini di gruppi distinti, con 29 APT e cybercriminali diversi attivi sulle cinque categorie. Segue Citrix con 22 gruppi, poi Ivanti con 19 su quattro categorie, Palo Alto Networks con nove su tre categorie e Check Point con sei su due categorie. Gli APT riconducibili alla Cina restano il caso di studio più solido. Il valore analitico dello studio, però, non sta nel confermare l'attività cinese sui dispositivi edge (fatto già ampiamente documentato), quanto nel dimostrare che Cina, Russia, Corea del Nord, Iran e operatori ransomware colpiscono lo stesso perimetro di dispositivi, ciascuno con proprie modalità di accesso.

La parte relativa all'incident response aggiunge informazioni interessanti. In tre casi distinti su appliance FortiGate, gli attaccanti hanno raggiunto il piano di gestione e creato account amministrativi non autorizzati; in due di questi hanno inoltre esportato le configurazioni del dispositivo, ed estratto credenziali riutilizzabili per muoversi lateralmente nella rete. In uno di questi due episodi documentato da SentinelOne, la configurazione esportata conteneva credenziali LDAP bind di un account di servizio della directory, poi effettivamente riutilizzate; poche ore dopo, l'attaccante ha aggiunto due computer al dominio, entrambi privi di Service Principal Name.

Un caso simile, avvenuto alla fine del 2024 su un'appliance Ivanti Cloud Services Appliance e documentato sempre da SentinelOne, ha visto un APT cinese concatenare la CVE-2024-8963 e la CVE-2024-8190 prima della divulgazione pubblica della catena di exploit, di modo da ottenere accesso a chiavi SSH e altre credenziali memorizzate sul dispositivo. In entrambi i casi, i ricercatori sottolineano che queste appliance non generano telemetria endpoint convenzionale, quindi costringono il team di incident response a ricostruire l'attività attraverso i log di autenticazione, gli oggetti Active Directory creati e il riutilizzo a valle delle credenziali sottratte.

Sul fronte della remediation, l'analisi individua un ritardo strutturale che riguarda proprio le vulnerabilità considerate più critiche. Sull'elenco delle 238 vulnerabilità ad alta priorità tracciate da Tenable, il tempo mediano di remediation è di 146 giorni, contro i 122 giorni delle altre falle, con uno scarto di 24 giorni statisticamente significativo. Il sottoinsieme specifico delle appliance edge, composto da 52 vulnerabilità, mostra uno scarto coerente di 8 giorni nella stessa direzione, che non è significativo dal punto di vista statistico, ma è indicativo dello stesso fenomeno. I

l dato trova riscontro anche nel Verizon Data Breach Investigations Report 2026, che ha registrato un aumento del tempo mediano di patch da 32 a 43 giorni anno su anno, proprio mentre lo sfruttamento delle vulnerabilità ha superato il furto di credenziali come primo vettore di accesso iniziale. La stessa edizione del report segnala inoltre un aumento del 50% delle vulnerabilità critiche da gestire rispetto all'anno precedente, mentre l'edizione 2025, che integrava i dati di remediation contribuiti da Tenable su 17 vulnerabilità legate a dispositivi edge, aveva rilevato che solo il 54% delle falle note ed effettivamente sfruttate su questi dispositivi risultava completamente risolta.

La spiegazione che i ricercatori offrono per questo paradosso è di natura operativa: applicare una patch su un gateway VPN o su un firewall significa spesso interrompere l'accesso per tutti gli utenti che vi transitano. Questi dispositivi resistono inoltre ai flussi di patching standard perché non eseguono agent endpoint, richiedono spesso aggiornamenti a livello di firmware con validazione manuale e in molti casi non dispongono più di contratti di supporto attivi. Il risultato è che i dispositivi più urgenti da aggiornare sono anche quelli operativamente più complessi da aggiornare, mentre la coda delle vulnerabilità ad alta priorità continua a crescere.

Sul piano delle contromisure, i ricercatori indicano come priorità immediata l'applicazione delle patch su dispositivi F5 e Citrix, che sono i due vendor che combinano le percentuali di esposizione più alte con i tempi di remediation più lunghi tra i campioni statisticamente solidi. È inoltre opportuna una riduzione della superficie di attacco mediante la minimizzazione del set di funzionalità attive e l'adozione di endpoint in modalità protect per limitare i movimenti laterali successivi a un accesso iniziale riuscito. Per quanto riguarda Ivanti Connect Secure ed EPMM, la raccomandazione è di considerare l'arrivo di una nuova vulnerabilità attivamente sfruttata entro i prossimi dodici mesi.