Negli ultimi anni, la sicurezza informatica è diventata sempre più critica, ma recenti ricerche rivelano uno scenario allarmante: le patch di sicurezza sono vulnerabili e spesso bypassate dagli attaccanti. Secondo uno studio della startup Terra Security, nel 2026 si è registrato un aumento significativo nelle segnalazioni di patch fallite, un trend preoccupante dopo anni di relativa stabilità.
Il fenomeno non è casuale; la scoperta di vulnerabilità tramite intelligenza artificiale ha visto un’impennata, così come le patch di sicurezza. Gli attaccanti, come dimostrato da casi recenti in cui cyber-spie russe hanno sfruttato una vulnerabilità zero-day di Windows, riescono ad agire prima ancora che le aziende rilascino le correzioni necessarie. Un esempio lampante è il bug di bypass della sicurezza CVE-2026-21510, sfruttato un mese prima della patch di Microsoft, che si è rivelata incompleta e ha lasciato esposta un’altra vulnerabilità.
I ricercatori di Terra hanno analizzato ogni record di CVE pubblicato e ogni avviso revisionato da GitHub alla ricerca di fix falliti, rivelando un cambiamento drastico nel 2026: le patch venivano rilasciate, trovate eluse e così una nuova correzione veniva distribuita. Prima del 2026, solo lo 0.2% delle patch di sicurezza su GitHub necessitavano di un avviso successivo per reportare un fallimento. Quest’anno, questa cifra è saltata al 2.3%.
Inoltre, i guasti delle vulnerabilità le cui correzioni non sono riuscite sono quattro volte più probabili di figurare nella lista delle vulnerabilità note sfruttate dalla CISA, rispetto ad altri bug. Le vulnerabilità più frequentemente bypassate riguardano l’attacco di server-side request forgery e la contaminazione dei prototipi, che si verificano in modi di correzione che non sempre prevedono ogni tipo di input malevolo.
È chiaro, dunque, che una correzione non è sufficiente: gli attaccanti possono facilmente trovare delle falle in quelle che sembrano essere soluzioni definitive. Le patch del kernel Linux presentano anch’esse un alto rischio di introdurre nuovi bug, con quasi il 3.2% degli CVE causati da correzioni di altri CVE.
In questo contesto, Terra Security esorta le aziende e gli amministratori di sistema a cambiare approccio nella gestione delle patch. Prima di applicarle, è fondamentale chiedersi: la patch risolve la causa principale? Copre tutto il tipo di bug? Rischia di rompere qualcos’altro? Gli esperti avvertono: assumere che un venditore ha risolto un bug sfruttato implica che qualcuno potrebbe essere in attesa di leggere la patch per trovare un modo per aggirarla.
