Il 20 maggio 2026 la Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto sette voci al suo catalogo Known Exploited Vulnerabilities (KEV), lo strumento che l’agenzia statunitense usa per segnalare quali falle sono già sotto attacco nel mondo reale. Due di queste vulnerabilità colpiscono Microsoft Defender e portano la data 2026. Le altre cinque, invece, hanno tra i 16 e i 18 anni: risalgono al 2008, al 2009 e al 2010. Il fatto che vengano sfruttate ancora oggi dice molto su quanto software datato giri ancora, senza patch, dentro reti aziendali e governative anche in Europa.
La notizia arriva a pochi giorni da un secondo annuncio, ancora più rilevante per chi si occupa di sicurezza: la nuova direttiva BOD 26-04, pubblicata l’11 giugno 2026, che cambia le regole con cui le agenzie federali statunitensi devono correggere le vulnerabilità. Il catalogo KEV, nato nel 2021, entra così in una seconda fase della sua storia. Ecco cosa è successo, cosa cambia e perché riguarda anche le aziende italiane ed europee, anche se la direttiva CISA si applica formalmente solo alle agenzie civili federali degli Stati Uniti.
Cos’è il catalogo CISA KEV e perché conta anche fuori dagli USA
Il catalogo CISA KEV non è un database di tutte le vulnerabilità conosciute. Quello è compito dell’NVD, il National Vulnerability Database gestito dal NIST. Il KEV è più piccolo e più mirato: raccoglie solo le falle per cui esiste una prova concreta di sfruttamento attivo, cioè attacchi già avvenuti, non teorici. Per entrare nel catalogo una vulnerabilità deve rispettare tre condizioni: avere un identificativo CVE assegnato, avere prove attendibili di exploit nel mondo reale e avere un’azione di correzione chiara, come un aggiornamento del produttore.
Questo lo rende uno strumento pratico per chi deve decidere cosa patchare per primo, dato che quasi nessun team di sicurezza ha le risorse per correggere tutto contemporaneamente. Molti fornitori di strumenti di vulnerability management, dentro e fuori gli Stati Uniti, integrano il feed KEV nei propri prodotti proprio per aiutare i clienti a dare priorità alle patch più urgenti invece di seguire solo il punteggio CVSS.
Le sette vulnerabilità aggiunte il 20 maggio 2026
Il bollettino ufficiale della CISA, distribuito tramite il sistema GovDelivery, elenca le sette voci aggiunte in blocco il 20 maggio. La motivazione data dall’agenzia è la stessa per tutte: prove di sfruttamento attivo. Ecco l’elenco completo con prodotto e anno di origine.
| CVE ID | Prodotto | Tipo di vulnerabilità | Anno di origine |
|---|---|---|---|
| CVE-2008-4250 | Microsoft Windows | Buffer overflow | 2008 |
| CVE-2009-1537 | Microsoft DirectX | NULL byte overwrite | 2009 |
| CVE-2009-3459 | Adobe Acrobat e Reader | Heap-based buffer overflow | 2009 |
| CVE-2010-0249 | Microsoft Internet Explorer | Use-after-free | 2010 |
| CVE-2010-0806 | Microsoft Internet Explorer | Use-after-free | 2010 |
| CVE-2026-41091 | Microsoft Defender | Elevazione di privilegi (CWE-59) | 2026 |
| CVE-2026-45498 | Microsoft Defender | Denial of service | 2026 |
Nel bollettino, la CISA scrive che «questi tipi di vulnerabilità sono vettori di attacco frequenti per gli attori malevoli» e invita non solo le agenzie federali, ma tutte le organizzazioni, a dare priorità alla correzione delle voci del catalogo come parte della normale gestione delle vulnerabilità (bollettino CISA del 20 maggio 2026).
Cinque falle vecchie tra i 16 e i 18 anni, ancora sotto attacco
La parte più sorprendente dell’aggiornamento non riguarda Microsoft Defender, ma il resto della lista. Cinque delle sette vulnerabilità aggiunte risalgono a un’epoca in cui Internet Explorer 8 era ancora il browser predefinito su molti PC aziendali. CVE-2008-4250 è un buffer overflow in Windows di 18 anni. CVE-2009-1537 e CVE-2009-3459 hanno 17 anni e colpiscono rispettivamente DirectX e Adobe Reader. CVE-2010-0249 e CVE-2010-0806 riguardano entrambe Internet Explorer e hanno 16 anni.
CVE-2010-0249 in particolare non è una falla qualunque: è la vulnerabilità use-after-free di Internet Explorer sfruttata nella campagna nota come Operation Aurora, gli attacchi contro Google e decine di altre aziende rivelati pubblicamente nel gennaio 2010 e attribuiti a gruppi legati alla Cina. Microsoft la corresse con il bollettino MS10-002 sedici anni fa. Che CISA la stia rimettendo sotto i riflettori nel 2026 significa che qualcuno, da qualche parte, sta ancora trovando sistemi che eseguono codice vulnerabile a quell’exploit.
Questo pattern non è nuovo per il catalogo KEV, ma resta il promemoria più efficace di un problema strutturale: software fuori supporto, macchine legacy isolate ma mai spente, e ambienti industriali dove aggiornare un sistema operativo richiede un fermo produzione che nessuno vuole autorizzare. Finché quei sistemi restano online, anche gli exploit più vecchi restano armi utilizzabili.
Le due falle 2026 di Microsoft Defender
Le due vulnerabilità più recenti colpiscono proprio lo strumento che dovrebbe proteggere gli utenti Windows: Microsoft Defender. Entrambe hanno ricevuto una scadenza di correzione fissata al 3 giugno 2026, esattamente quattordici giorni dopo l’aggiunta al catalogo.
CVE-2026-41091: elevazione di privilegi
Questa falla, classificata come CWE-59 («link following» improprio prima dell’accesso a un file), permette a un aggressore già autenticato sul sistema di ottenere privilegi più alti del previsto. Colpisce il Malware Protection Engine di Defender nelle versioni comprese tra 1.1.26030.3008 e 1.1.26040.8. Il punteggio CVSS 3.1 assegnato dal NIST è 7,8, classificato come «alto» (scheda NVD di CVE-2026-41091). A segnalarla è stata la stessa Microsoft.
CVE-2026-45498: negazione del servizio
La seconda falla riguarda la piattaforma antimalware di Defender, nelle versioni dalla 4.0.0.0 alla 4.18.26040.7. Un attacco riuscito può mandare in crash il servizio di protezione, lasciando temporaneamente la macchina senza scansione attiva. Qui i numeri raccontano una storia interessante, perché non tutti sono d’accordo su quanto sia grave.
Il punteggio CVSS che divide NIST e Microsoft
Per CVE-2026-45498 esistono due valutazioni CVSS ufficiali, e non coincidono. Il NIST, tramite l’NVD, assegna un punteggio di 7,5 («alto»), calcolato su un vettore di attacco di rete che non richiede privilegi né interazione dell’utente. Microsoft, che in questo caso agisce come CNA (CVE Numbering Authority) per i propri prodotti, valuta invece la stessa falla 4,0 («medio»), partendo dal presupposto che serva un accesso locale al sistema (scheda NVD di CVE-2026-45498).
Una differenza di 3,5 punti tra due fonti ufficiali non è cosmetica. Molti team di sicurezza automatizzano le priorità di patch proprio in base alla soglia CVSS, per esempio correggendo entro pochi giorni tutto ciò che supera 7,0. Se un’azienda si affida al punteggio Microsoft, questa vulnerabilità finisce in coda. Se si affida al punteggio NIST, scatta l’allarme. Il fatto che sia comunque nel catalogo KEV, indipendentemente dal punteggio, è proprio la ragione per cui CISA lo considera più affidabile del solo CVSS: l’inclusione nel KEV si basa sullo sfruttamento reale, non su un calcolo teorico di gravità.
BOD 26-04: CISA riscrive le priorità, tre giorni per i casi più critici
Se l’aggiornamento del 20 maggio è la notizia più concreta, la BOD 26-04, la nuova direttiva vincolante pubblicata l’11 giugno 2026, è quella con le conseguenze più durature. Fino a oggi la BOD 22-01 del 2021 imponeva scadenze piuttosto uniformi: sei mesi per le vulnerabilità con CVE assegnato prima del 2021, due settimane per tutte le altre, senza distinguere troppo il contesto. La BOD 26-04 introduce invece scadenze differenziate in base al rischio reale (analisi di SecurityWeek sulla BOD 26-04).
- 3 giorni: per le vulnerabilità del catalogo KEV su sistemi esposti pubblicamente, se l’exploit è automatizzabile o garantisce il controllo completo della macchina.
- 14-60 giorni: per le vulnerabilità a rischio più basso, non presenti nel KEV, non automatizzabili o che non toccano asset esposti a internet.
Per rispettare questi tempi, le agenzie dovranno anche mappare tutti i propri asset raggiungibili da internet e automatizzare la segnalazione dello stato di patching, mentre la CISA si è impegnata a pubblicare entro sessanta giorni i requisiti tecnici per etichettare gli asset in modo standardizzato. La direttiva non sostituisce la BOD 22-01, la estende con una logica più fine, dove non conta solo se una falla è nel KEV, ma anche quanto è esposta e quanto è facile da sfruttare su scala.
KEV, NVD ed EUVD a confronto: tre strumenti, scopi diversi
Per chi lavora in Italia o altrove in Europa, la domanda naturale è: esiste un equivalente europeo? La risposta è sì, ma con una logica diversa. Dal 13 maggio 2025 l’ENISA, l’agenzia europea per la cybersicurezza, gestisce l’EUVD (European Vulnerability Database), creato in base alla direttiva NIS2 (comunicato ENISA sul lancio dell’EUVD). A differenza del KEV, l’EUVD non è un elenco ristretto di falle sfruttate: è un registro ampio, pensato per la divulgazione coordinata delle vulnerabilità, che aggrega segnalazioni da CSIRT, fornitori e altri database. Secondo un’analisi indipendente di VulnCheck, l’EUVD conta quasi 265.000 voci sul sito pubblico e circa 244.000 tramite la sua API (analisi VulnCheck sull’EUVD), numeri che raccontano un progetto costruito per la copertura, non per la selezione.
| Caratteristica | CISA KEV (USA) | NVD (USA) | EUVD (UE, ENISA) |
|---|---|---|---|
| Scopo principale | Priorità di patching su exploit reali | Catalogo generale delle CVE | Divulgazione coordinata e registro ampio |
| Criterio di inclusione | Sfruttamento attivo confermato | Qualsiasi CVE assegnata | Segnalazioni da CSIRT, fornitori, altri database |
| Obbligo legale diretto | Sì, per le agenzie federali USA (BOD 22-01 / 26-04) | No | Legato alla NIS2, non è un mandato di patching |
| Dimensione indicativa | Oltre 1.500 voci (2026) | Centinaia di migliaia di CVE totali | ~265.000 voci sul sito pubblico |
Nessuna fonte consultata conferma che un’agenzia italiana o europea abbia pubblicato un avviso che cita esplicitamente l’aggiornamento KEV del 20 maggio 2026, quindi non lo diamo per scontato. Quello che è verificabile è che l’infrastruttura europea per la gestione delle vulnerabilità esiste già, gira in parallelo a quella statunitense e copre, con logica diversa, buona parte dello stesso terreno.
Un catalogo che continua a crescere
Il KEV non è un elenco statico. Secondo dati della società di threat intelligence Cyble, il catalogo contava 1.239 voci alla fine del 2024 ed è salito a 1.484 alla fine del 2025, con una crescita del 20% in dodici mesi. Tracker indipendenti che monitorano il feed pubblico nel 2026 riportano cifre che vanno da poco meno di 1.600 a poco più di 1.650 voci, a seconda di quando viene fatta l’istantanea: numeri che non coincidono esattamente tra loro, ma che concordano tutti su un punto, e cioè che il catalogo ha ormai superato ampiamente le 1.500 voci.
| Periodo | Voci nel catalogo KEV | Variazione |
|---|---|---|
| Fine 2024 | 1.239 | – |
| Fine 2025 | 1.484 | +20% |
| Metà 2026 (stima) | Oltre 1.500 | Dato non ufficiale, da tracker terzi |
L’impatto sul mercato della cybersecurity
Ogni aggiornamento del KEV genera lo stesso effetto a catena nell’industria della sicurezza. I fornitori di scanner di vulnerabilità e piattaforme di vulnerability management aggiornano i propri feed nel giro di ore, non di giorni, perché i clienti se lo aspettano. I team SOC ricevono un nuovo set di alert ad alta priorità da smaltire, spesso durante lo stesso ciclo di patch mensile in cui devono già gestire il Patch Tuesday di Microsoft. E i responsabili della sicurezza devono spiegare al management perché, all’improvviso, va corretta con urgenza anche una falla di Internet Explorer che nessuno usa più attivamente come browser, ma che può ancora annidarsi in componenti legacy o installazioni non rimosse.
La BOD 26-04 aggiunge un ulteriore livello di pressione operativa, perché lega esplicitamente la scadenza di tre giorni alla superficie di esposizione reale, non solo alla presenza nel catalogo. Questo spinge le organizzazioni, americane per obbligo e non americane per buona pratica, a investire in inventari degli asset più accurati: non basta più sapere che una falla esiste, bisogna sapere in tempo reale quali macchine la espongono a internet. Per il mercato dei tool di asset discovery e attack surface management, è un argomento di vendita concreto, non teorico.
Cosa dice la CISA sul ruolo del catalogo KEV
La pagina ufficiale della CISA dedicata al KEV spiega con chiarezza la logica dietro lo strumento. Come scrive l’agenzia, «il catalogo KEV manda un messaggio chiaro a tutte le organizzazioni: concentrare gli sforzi di correzione su quel sottoinsieme di vulnerabilità che sta causando danni immediati, sulla base dell’attività osservata da parte degli avversari» (CISA, Known Exploited Vulnerabilities).
Sui criteri di inclusione, la CISA precisa che «una vulnerabilità entra nel catalogo solo se ha un identificativo CVE assegnato, se esistono prove attendibili di sfruttamento attivo e se è disponibile un’azione di correzione chiara, come un aggiornamento del fornitore» (CISA, Known Exploited Vulnerabilities). Sul fronte degli obblighi, l’agenzia ricorda che «la BOD 22-01 impone alle agenzie civili federali di applicare gli aggiornamenti secondo le istruzioni del fornitore per ogni voce del catalogo KEV», aggiungendo che raccomanda «fortemente» a tutte le altre organizzazioni di fare lo stesso (CISA, Known Exploited Vulnerabilities).
Sulla nuova direttiva, la testata specializzata SecurityWeek riassume così il cambiamento: «la BOD 26-04 impone alle agenzie federali di rivedere e aggiornare le proprie politiche di vulnerability management e di dare priorità alla correzione delle falle incluse nel catalogo KEV» (SecurityWeek, CISA Directs Federal Agencies to Prioritize Security Patches Based on Risk).
Contesto storico: dalla BOD 22-01 del 2021 alla svolta del 2026
Il catalogo KEV nasce il 3 novembre 2021, giorno in cui la CISA pubblica la Binding Operational Directive 22-01 (testo della direttiva BOD 22-01). L’idea di fondo, all’epoca innovativa, era semplice: invece di inseguire migliaia di CVE con la stessa urgenza, concentrare le risorse limitate dei team di sicurezza su quelle poche decine, poi centinaia, che gli aggressori stavano davvero usando. In cinque anni il catalogo è passato da poche centinaia di voci a oltre 1.500, diventando nel frattempo un riferimento globale citato anche da fornitori e ricercatori che non hanno alcun obbligo legale di seguirlo.
Il 2026 segna probabilmente la revisione più profonda del modello dal 2021: con la BOD 26-04, CISA passa da scadenze fisse a scadenze calcolate sul rischio reale. È un’evoluzione naturale per uno strumento che, nato come lista, si sta trasformando in un sistema di definizione delle priorità più complesso, dove contano insieme lo sfruttamento attivo, l’esposizione dell’asset e la facilità di automazione dell’attacco.
Cinque previsioni per la seconda metà del 2026
Sulla base di quanto emerso finora, alcune tendenze sembrano abbastanza probabili nei prossimi mesi, anche se restano appunto previsioni e non fatti confermati.
- Le scadenze differenziate diventano lo standard. È probabile che altri framework, anche fuori dal perimetro federale USA, inizino a copiare la logica della BOD 26-04, con tempi di patch legati all’esposizione reale invece che a regole uniformi.
- Le vulnerabilità legacy continueranno a comparire nel KEV. Finché esistono sistemi Windows XP, Server 2003 o applicazioni Java non aggiornate ancora in produzione, è ragionevole aspettarsi altre CVE con dieci o più anni di vita nei prossimi aggiornamenti del catalogo.
- Le divergenze di punteggio CVSS tra CNA e NIST diventeranno un tema più discusso. Con sempre più aziende che automatizzano le priorità di patch, casi come quello di CVE-2026-45498 spingeranno probabilmente verso una revisione di come vengono calcolati e comunicati questi punteggi.
- EUVD e KEV resteranno paralleli, non integrati. È plausibile un maggiore riferimento incrociato tra i due database mano a mano che l’EUVD matura sotto NIS2 e il Cyber Resilience Act, ma un’integrazione formale nel breve termine appare improbabile.
- La scadenza di tre giorni della BOD 26-04 diventerà un benchmark informale. Anche aziende private senza alcun obbligo verso CISA potrebbero iniziare a citare quella soglia nei propri SLA interni di patching, semplicemente perché è diventata un riferimento pubblico e misurabile.
Cosa devono fare ora i team di sicurezza italiani ed europei
Nessuna azienda italiana è legalmente obbligata a rispettare le scadenze della CISA. Ma ignorare il catalogo KEV significa ignorare gratuitamente un segnale di intelligence che altri stanno già usando contro le stesse minacce. Tre azioni concrete hanno senso indipendentemente dalla giurisdizione.
- Verificare se i sistemi Microsoft Defender in uso rientrano nelle versioni vulnerabili a CVE-2026-41091 o CVE-2026-45498 e applicare l’aggiornamento, indipendentemente dal punteggio CVSS che si decide di seguire.
- Fare un censimento rapido di eventuali sistemi legacy (Windows datati, versioni vecchie di Internet Explorer ancora presenti in modalità compatibilità, Adobe Reader non aggiornato) che potrebbero risultare esposti alle cinque falle storiche riportate nel catalogo.
- Integrare il feed pubblico del KEV, insieme all’EUVD di ENISA, nei propri processi di vulnerability management, anche solo come ulteriore fonte di priorità accanto al CVSS.
Domande frequenti
Cos’è esattamente il catalogo CISA KEV?
È l’elenco ufficiale, mantenuto dalla Cybersecurity and Infrastructure Security Agency statunitense, delle vulnerabilità per cui esistono prove concrete di sfruttamento attivo, non solo un rischio teorico.
Le aziende italiane sono obbligate a rispettare le scadenze CISA?
No. La BOD 22-01 e la BOD 26-04 si applicano solo alle agenzie civili federali statunitensi. Restano però un riferimento utile per dare priorità alle patch anche fuori dagli Stati Uniti.
Perché nel catalogo del 2026 ci sono vulnerabilità del 2008 e del 2009?
Perché il criterio di inclusione non è la data della falla, ma la prova di sfruttamento attivo recente. Se un exploit vecchio di quasi vent’anni funziona ancora su sistemi non aggiornati, può entrare nel catalogo in qualsiasi momento.
Cosa cambia in pratica con la direttiva BOD 26-04?
Sostituisce le scadenze uniformi con tempi differenziati in base al rischio: fino a tre giorni per le vulnerabilità KEV su asset esposti e automatizzabili, tra 14 e 60 giorni per i casi a rischio più basso.
Come si verifica se una versione di Microsoft Defender è vulnerabile?
Le schede tecniche di CVE-2026-41091 e CVE-2026-45498 sull’NVD indicano gli intervalli di versione esatti del Malware Protection Engine e della piattaforma antimalware coinvolti. Microsoft distribuisce gli aggiornamenti tramite i normali canali di Windows Update.
Qual è la differenza principale tra KEV e l’EUVD europeo?
Il KEV è una lista ristretta e selettiva, pensata per la priorità di patch. L’EUVD di ENISA è un registro molto più ampio, orientato alla divulgazione coordinata delle vulnerabilità, con circa 265.000 voci contro le poco più di 1.500 del KEV.
Cosa succede a un’agenzia federale USA che non rispetta la scadenza KEV?
Le fonti consultate per questo articolo non specificano sanzioni dettagliate caso per caso: la direttiva impone l’obbligo di remediation entro la data indicata, con il monitoraggio della conformità gestito centralmente dalla CISA.
Dove si consulta il catalogo KEV aggiornato?
Il catalogo è pubblico e consultabile sul sito ufficiale della CISA, che lo aggiorna ogni volta che viene confermato lo sfruttamento attivo di una nuova vulnerabilità.
Approfondimenti correlati
- CVE Foundation e EUVD: 17 Ore di Crisi, 265K Vulnerabilità [2025]
- Microsoft Patch Tuesday Maggio 2026: CVE-2026-41089 CVSS 9.8, 118 Falle
- Patch Tuesday Giugno 2026
- NIS2 in Italia: 20.000 Aziende sotto Ispezione ACN, Multa fino a 10M€
- Clusit Report 2026: 507 Attacchi in Italia, Prima in Europa
Per altre notizie e analisi sul fronte sicurezza, la sezione Sicurezza di Shattered.io raccoglie la copertura aggiornata su vulnerabilità, violazioni di dati e normative europee.
