Report GTIG 2026: 90 Zero-Day Sfruttati nel 2025 — L'Enterprise È il Nuovo Campo di Battaglia

Il Google Threat Intelligence Group (GTIG) ha pubblicato il suo report annuale sugli zero-day sfruttati in-the-wild nel 2025, e i numeri raccontano una storia che ogni CISO europeo dovrebbe leggere con attenzione. Nel 2025 sono stati identificati 90 zero-day sfruttati attivamente — in aumento rispetto ai 78 del 2024, e all'interno del range 60-100 che si è stabilizzato negli ultimi quattro anni. Ma il dato più significativo non è il volume: è il target. Per la prima volta, le tecnologie enterprise rappresentano il 48% di tutti gli zero-day sfruttati — 43 vulnerabilità su 90 — raggiungendo il massimo storico sia in numero assoluto che in proporzione.

Lo Shift Strutturale: Dall'Utente Finale all'Infrastruttura Enterprise

Il GTIG aveva già identificato nel 2024 un trend emergente verso l'exploitation enterprise. Nel 2025, quel trend si è consolidato in un cambiamento strutturale. Fino a pochi anni fa, la maggioranza degli zero-day prendeva di mira browser, sistemi operativi mobili e applicazioni consumer — software su cui un utente finale clicca un link malevolo e viene compromesso. Oggi, quasi metà degli zero-day colpisce l'infrastruttura che le aziende usano per proteggersi: firewall, VPN concentrator, router edge, piattaforme di gestione endpoint e software di sicurezza.

La logica degli attaccanti è chiara. Un firewall compromesso dà accesso a un'intera rete aziendale. Un VPN concentrator violato consente l'ingresso da remoto senza credenziali. Un router edge compromesso permette di intercettare tutto il traffico in transito. Questi dispositivi operano ai confini della rete — i cosiddetti "edge device" — dove spesso mancano le capacità di Endpoint Detection and Response (EDR) che proteggono i laptop e i server interni. Sono punti ciechi nella visibilità di sicurezza, e gli attaccanti lo sanno.

I Vendor di Sorveglianza Superano gli Stati-Nazione

Un'altra rivelazione significativa del report: dei 42 zero-day attribuiti a specifici attori, i vendor di sorveglianza commerciale (Commercial Surveillance Vendors — CSV) sono stati coinvolti in 15 casi, superando per la prima volta i gruppi di spionaggio statale (12 zero-day). Aziende come NSO Group, Candiru, Intellexa e i loro successori continuano a sviluppare e vendere capacità di exploitation a governi di tutto il mondo — inclusi governi con track record discutibili in materia di diritti umani.

Questo dato ha implicazioni profonde per l'Europa. Il regolamento UE sugli spyware è ancora in fase di definizione, mentre queste aziende continuano a operare. Gli zero-day sviluppati dai CSV vengono utilizzati per sorvegliare giornalisti, attivisti, dissidenti politici e avvocati — ma le stesse vulnerabilità, una volta scoperte o trapelate, diventano disponibili per attori statali e criminali. Il mercato dei CSV alimenta un ciclo in cui la scoperta di una vulnerabilità zero-day non porta alla sua correzione, ma alla sua weaponizzazione e vendita al miglior offerente.

La Cina Raddoppia: 10 Zero-Day nel 2025

Il report GTIG attribuisce almeno 10 zero-day a gruppi di spionaggio legati alla Cina nel 2025 — il doppio rispetto al 2024. Questo è coerente con il panorama più ampio: Salt Typhoon nelle telecomunicazioni globali, Volt Typhoon pre-posizionato nelle infrastrutture critiche, Storm-1175 che usa zero-day per distribuire ransomware Medusa. La Cina sta investendo massicciamente nella ricerca di vulnerabilità e nello sviluppo di exploit, e i risultati si vedono.

I target cinesi sono principalmente device edge e infrastrutture di rete — esattamente la categoria che sta crescendo più rapidamente nel report GTIG. Questo suggerisce una strategia deliberata: anziché colpire gli endpoint degli utenti (dove l'EDR può rilevare l'attività), i gruppi cinesi preferiscono compromettere i dispositivi di rete che mancano di capacità di detection avanzate e che forniscono accesso privilegiato persistente.

L'Edge Device: Il Paradosso della Sicurezza che Crea Insicurezza

Il report GTIG evidenzia un paradosso fondamentale della cybersecurity moderna: i dispositivi progettati per proteggere le reti aziendali — firewall, VPN, sistemi di gestione endpoint — sono diventati il vettore di ingresso preferito degli attaccanti. Le ragioni sono strutturali:

• Accesso privilegiato: un firewall compromesso bypassa tutte le difese perimetrali in un colpo solo
• Visibilità limitata: la maggior parte degli EDR non copre firewall, router e VPN concentrator — sono punti ciechi operativi
• Complessità del software: i dispositivi edge eseguono software complesso con superfici di attacco ampie e spesso con componenti legacy
• Aggiornamenti difficili: a differenza degli endpoint, l'aggiornamento di un firewall o VPN in produzione richiede pianificazione e downtime — creando finestre di esposizione prolungate
• Valore strategico: un singolo device edge può fornire accesso persistente a un'intera rete aziendale per mesi o anni

Questo paradosso richiede un ripensamento fondamentale dell'architettura di sicurezza. Il modello "fidarsi del perimetro" non funziona quando il perimetro stesso è il punto debole. Le organizzazioni devono trattare i propri dispositivi di sicurezza come asset ad alto rischio — monitorarli, audirli e prepararsi alla loro compromissione come farebbero per qualsiasi altro sistema critico.

L'AI Come Acceleratore: La Prospettiva GTIG

Il report avverte che l'intelligenza artificiale diventerà sempre più importante per scalare e accelerare le attività di minaccia. Gli attaccanti utilizzeranno l'AI per condurre ricognizione automatizzata, scoprire nuove vulnerabilità e sviluppare exploit. Questo è particolarmente rilevante per il mercato degli zero-day: se l'AI può accelerare la scoperta di vulnerabilità, il costo di trovare un nuovo zero-day diminuisce — il che significa più zero-day disponibili, più attacchi, e finestre di esposizione potenzialmente più brevi tra scoperta e sfruttamento.

Il WEF Global Cybersecurity Outlook 2026 corrobora questa prospettiva, identificando l'accelerazione AI e le fratture geopolitiche come i due driver principali del panorama di cybersecurity 2026. La combinazione di AI che riduce le barriere all'exploitation e tensioni geopolitiche che aumentano la motivazione degli attaccanti crea un ambiente di minaccia in rapida intensificazione.

I Numeri Chiave del Report GTIG 2026

• 90 zero-day sfruttati in-the-wild nel 2025 (in aumento dai 78 del 2024)
• 43 zero-day (48%) hanno colpito tecnologie enterprise — massimo storico
• 15 zero-day attribuiti a vendor di sorveglianza commerciale (CSV) — record
• 12 zero-day attribuiti a gruppi di spionaggio statale
• 10 zero-day attribuiti a gruppi cinesi — raddoppiati rispetto al 2024
• Il range 60-100 zero-day annuali si è stabilizzato come nuova normalità
• I dispositivi edge (firewall, VPN, router) sono la categoria in crescita più rapida
• L'AI è identificata come futuro acceleratore della scoperta e dell'exploitation di vulnerabilità

Implicazioni per le Organizzazioni Europee

Il report GTIG ha implicazioni dirette per la strategia di cybersecurity di ogni organizzazione europea. La Direttiva NIS2, entrata pienamente in vigore, richiede alle organizzazioni di "adottare misure tecniche, operative e organizzative adeguate" per gestire i rischi di sicurezza. Ma se quasi la metà degli zero-day colpisce le tecnologie enterprise che le organizzazioni implementano proprio per soddisfare questi requisiti normativi, la compliance stessa diventa un paradosso: i dispositivi installati per soddisfare NIS2 possono diventare i vettori di ingresso per gli attaccanti.

La risposta non è rinunciare ai dispositivi di sicurezza, ma cambiare il modello mentale. I firewall, le VPN e i sistemi di gestione endpoint devono essere trattati come asset ad alto rischio — non come garanzie di sicurezza. Devono essere monitorati con la stessa intensità con cui si monitora un server critico, aggiornati con la stessa urgenza, e il piano di incident response deve prevedere lo scenario specifico della compromissione di un dispositivo di sicurezza perimetrale.

Raccomandazioni Operative

1. 1.Inventario dei dispositivi edge: mappare tutti i firewall, VPN, router e sistemi di gestione endpoint esposti a Internet. Per ciascuno, verificare la versione del firmware e lo stato di patching rispetto ai CVE noti.
2. 2.Monitoraggio dedicato per edge device: implementare logging e monitoraggio specifico per i dispositivi di sicurezza perimetrale. Le soluzioni EDR tradizionali non coprono questi dispositivi — servono strumenti di Network Detection and Response (NDR) e log analysis dedicati.
3. 3.Patching d'emergenza come processo standard: con zero-day che colpiscono i device edge con frequenza crescente, il patching non può attendere il ciclo di manutenzione programmata. Implementare un processo di patching d'emergenza che consenta l'applicazione di fix critici entro 24-48 ore dalla disclosure.
4. 4.Zero Trust oltre il marketing: implementare realmente il principio "never trust, always verify" anche per il traffico che attraversa i dispositivi di sicurezza. Non assumere che il traffico proveniente dal firewall sia legittimo — verificarlo.
5. 5.Threat hunting sugli edge device: utilizzare gli IOC pubblicati da GTIG e dai vendor per cercare proattivamente segni di compromissione pregressa sui dispositivi perimetrali. Non limitarsi ai log recenti — molti attacchi zero-day restano invisibili per mesi.
6. 6.Piani di risposta per la compromissione del perimetro: il piano di incident response deve includere lo scenario specifico "firewall/VPN compromesso". Come si contiene un attaccante che ha già bypassato il perimetro? Come si ripristina la fiducia nell'infrastruttura di sicurezza?
7. 7.Valutazione dei vendor CSV: per le organizzazioni che operano in settori sensibili (governo, difesa, media, diritti umani), valutare l'esposizione allo spyware commerciale. Implementare protezioni specifiche come Lockdown Mode (Apple) e verifiche periodiche dei dispositivi mobili.
8. 8.Monitoraggio dell'evoluzione AI nel threat landscape: allocare risorse per comprendere come l'AI accelera la scoperta di vulnerabilità e lo sviluppo di exploit. Le difese che funzionano oggi potrebbero non essere sufficienti domani se il volume di zero-day aumenta grazie all'automazione AI.

Conclusione: Il Perimetro Non È Più il Muro — È la Porta

Il report GTIG 2026 documenta una trasformazione fondamentale nel panorama delle minacce: i dispositivi progettati per proteggere le reti aziendali sono diventati il bersaglio primario degli attaccanti più sofisticati al mondo — dagli Stati-nazione ai vendor di sorveglianza commerciale. Con 43 zero-day enterprise nel solo 2025, il messaggio è chiaro: il perimetro non è più il muro che protegge l'organizzazione — è la porta attraverso cui entrano gli attaccanti.

Per le organizzazioni europee sotto il regime NIS2, questo richiede un cambio di paradigma. I firewall e le VPN non sono garanzie di sicurezza — sono superfici di attacco che devono essere gestite, monitorate e difese con la stessa intensità di qualsiasi altro asset critico. Chi non adotta questo mindset si troverà nella posizione paradossale di essere stato compromesso proprio attraverso i dispositivi che aveva installato per proteggersi.