La definizione delle priorità delle patch negli ambienti delle PMI si basa spesso sulla gravità indicata dal vendor: prima quelle critiche, poi quelle ad alta severità e infine tutte le altre. Il livello di gravità risponde solo a una domanda: quanto è rischioso lasciare una vulnerabilità irrisolta? Non dice nulla sulla difficoltà di implementazione della correzione, sulla frequenza con cui causa problemi o sulla quantità di test necessari.
Per aggiungere anche questa dimensione operativa, Acronis utilizza un sistema di AI-based patch quality scoring, che assegna punteggi di rischio sulla base di segnalazioni provenienti dalle community IT globali e da fonti open source di threat intelligence. Ogni patch viene così classificata in base alla qualità attesa, da stabile fino a categorie che indicano problemi critici, aiutando gli MSP a capire quali aggiornamenti richiedano maggiori verifiche prima della distribuzione.
L’analisi condotta su circa 545.000 installazioni di patch tra gennaio e maggio 2026 mostra che circa una patch su nove rientra nelle categorie di cautela o criticità e necessita quindi di una revisione più approfondita. Il rischio, però, varia molto da prodotto a prodotto: tra quelli con i tassi di warning più elevati figurano Adobe PDF, con il 76,2% delle patch segnalate, Google Chrome con il 67,7%, Microsoft Windows Server con il 35,4% e Node.js con il 35,2%.
I dati confermano inoltre che severity e qualità della patch sono indicatori diversi ma complementari. Le patch ad alta severità risultano circa quattro volte più propense rispetto a quelle di severità media a rientrare nella categoria dei problemi critici. Per questo, l’ordine di distribuzione dovrebbe tenere conto sia dell’urgenza della vulnerabilità sia dell’affidabilità attesa dell’installazione.
Chrome e Adobe PDF emergono come le principali priorità di test perché combinano un’elevata diffusione con tassi di warning particolarmente alti. Chrome presenta inoltre forti variazioni mensili nei tassi di warning, a conferma della necessità di aggiornare regolarmente la pianificazione dei test. L’analisi mostra anche che un’ampia diffusione non corrisponde necessariamente a un rischio elevato. Per i prodotti meno diffusi, i controlli possono essere concentrati sui tenant e sugli endpoint in cui sono effettivamente presenti.
Nel complesso, la qualità delle patch rappresenta quindi un indicatore utile per la pianificazione operativa degli MSP, perché consente di distribuire meglio le risorse di testing, ridurre i rischi di rollout e adattare le priorità ai prodotti realmente utilizzati. Poiché il comportamento delle patch può cambiare nel tempo, l’analisi dovrebbe essere aggiornata regolarmente, idealmente su base trimestrale.
