Nel 2026 l’exploitation non è più un’attività artigianale o esclusivamente manuale come un tempo. Gli attaccanti sfruttano vulnerabilità note, automatizzano scansioni, usano AI per generare payload e si basano su framework che seguono passo per passo le tecniche documentate nel MITRE ATT&CK, soprattutto nella sezione “Execution” e “Privilege Escalation”.
https://attack.mitre.org/tactics/TA0002/
Gran parte degli attacchi moderni inizia da vulnerabilità note e pubblicate nei database CVE. È diventato comune vedere exploit rilasciati poche ore dopo l’annuncio di una vulnerabilità critica. La finestra di esposizione per le aziende si è quindi drasticamente ridotta: gli attaccanti automatizzano lo scanning globale, trovano servizi non patchati e li colpiscono prima ancora che i team IT abbiano il tempo di leggere il bollettino.
Il database ufficiale resta il punto di riferimento: https://www.cve.org
Una pillola importante riguarda la differenza tra vulnerabilità sfruttate in modo diretto e quelle sfruttate come step preliminare. Ad esempio, una semplice injection, tecnica classificata da MITRE come “Exploitation for Privilege Escalation (T1068)”, può permettere a un attaccante di ottenere i primi privilegi su un sistema. Da lì, la catena tipica prosegue con l’abuso di token, l'accesso a credenziali memorizzate e l'esecuzione di comandi da remoto.
Molti attacchi moderni non si basano più su un singolo exploit, ma su una catena logica. L’exploitation è diventata una sequenza: accesso iniziale, movimento laterale, acquisizione privilegi, persistenza e infine impatto. Ed è proprio analizzando queste catene, ben strutturate nel framework MITRE, che i pentester riescono oggi a simulare attacchi realistici e a fornire alle aziende una fotografia accurata dei propri punti deboli.
Nel 2026 proteggersi dall’exploitation significa aggiornare rapidamente, monitorare CVE critiche e bloccare comportamenti inusuali più che inseguire exploit specifici. È un approccio più maturo, essenziale per chiunque gestisca applicazioni aziendali esposte.