Library · Data · 25 October 2026

Is it accelerating? Ten years of cybersecurity, measured

One week in October 2026 made it feel as if the internet was coming apart. The data from 2016 to 2026 says something more precise: some curves are bending upward, some are flat, and a few are getting better. The danger lives in the gap between them.

About 12 min read11 data seriesSources for every figure

Chart, 2016–2026: vulnerabilities published per year rose from 6,449 to more than 67,000 by September 2026; zero-days exploited before a fix stayed between 78 and 100 a year in 2023–2025; the median time intruders stay hidden fell from 99 days in 2016 to 14 in 2025; the share of exploited flaws fully patched fell from 38% in 2024 to 26% in 2025. — Four curves, each scaled to its own maximum. The 2026 point covers January to mid-September only.

The week that started the question

A post circulated widely in late October listing, in a single breathless paragraph, everything that had gone wrong in a few days. Someone shared it on Facebook with a simple question: do you ever get the sense that things are accelerating? Before answering, it is worth checking the paragraph itself, because most of it holds up.

On 21 October 2026 PHP, the server language behind roughly 70% of websites whose technology can be identified, shipped emergency fixes for two flaws now known as PHP2Shell (CVE-2026-109618 and CVE-2026-109619). Both allow an attacker who is not logged in to run code on a web server. Details leaked before the fix was ready, so the FBI and NSA, the UK's NCSC and Japan's national cybersecurity office advised anyone unable to patch immediately to take their systems offline; CERT-EU advised isolating them from public networks. According to Censys data reported by Reuters, about 1.5 million of 2.6 million hosts were running a PHP version for which no fix exists. Government sites in the Netherlands, Finland and France went dark as a precaution — in the Netherlands including Overheid.nl, MijnOverheid and DigiD — and so did the Dutch cybersecurity agency's own site, the Port of Rotterdam's, some Wikipedia systems and, briefly, the Internet Archive. Dutch media reported that the national news agency ANP also switched off some systems as a precaution. Japan's Prime Minister, Sanae Takaichi, posted an urgent appeal to website owners on X that evening.

The rest of the list is also documented: GitLab's second maximum-severity (CVSS 10) remote-code-execution flaw in ten days; a hijacked release of LiteLLM, a widely used AI gateway, that shipped a credential stealer and remote-access trojan for about two hours — its second compromise this year; Railway pausing all deployments after intruders reached customers' stored secrets; a joint US–German–UK advisory saying the SafePay ransomware group had hit at least 600 critical-infrastructure organisations since 2024; more than 300 hijacked Tor exit relays intercepting SSH logins; and eMudhra, an Indian certificate authority, whose intermediate private keys turned out to be tiny numbers — one of them literally 4 — prompting Google, Mozilla, Apple and Microsoft to block eight certificates.

Three details in the viral version need correcting. PHP's official severity score is 9.2 out of 10, not 10. Japan's "state of emergency in cyberspace" was a phrase used on 9 October by Masaaki Taira, head of the ruling party's cybersecurity headquarters, at a party meeting after breaches at more than 20 major companies — the government itself declared no emergency. And the Prime Minister's post went out on Wednesday night, ahead of the 11 pm Tokyo release of the fix, not at dawn. The underlying events are real.

So the question is fair. But one bad week is a point, not a curve. To see whether things are accelerating we need the curves.

How to read the curves

There is no single number for "cybersecurity". What exists are long-running series, each measuring something different and each with its own blind spots. I used the ones that are public, methodologically stable and published by the bodies that collect the data: the CVE programme (vulnerabilities disclosed), the FBI's Internet Crime Complaint Center (reported losses), Mandiant's M-Trends (how long intruders stay undetected and how quickly flaws are exploited), Google's zero-day reviews, CISA's catalogue of exploited vulnerabilities, Chainalysis and Coveware (ransomware), IBM/Ponemon (breach costs), Verizon's DBIR (how breaches start) and ENISA (Europe).

Two cautions apply throughout. First, many of these series measure detection and reporting as much as attacks: more vulnerability numbering authorities produce more CVEs; more awareness produces more complaints to the FBI. Second, "accelerating" has a precise meaning. Something that grows 30% every year grows exponentially, and feels relentless, but it is not accelerating; the growth rate itself has to rise. That distinction turns out to matter.

CVEs publishedReported cybercrime losses (FBI IC3)Median dwell time (Mandiant)

The divergence in one picture. Each series indexed to 2016 = 1, logarithmic scale. Disclosed vulnerabilities rose 7.5-fold and reported losses 14-fold, while the time intruders stay hidden fell to about a seventh. Sources: CVE.org data compiled by Jerry Gamblin; FBI IC3 annual reports; Mandiant M-Trends 2017–2026.

What is genuinely accelerating

1. The volume of known flaws

In 2016 the CVE programme published about 6,450 vulnerabilities. In 2025 it published 48,185, a record and 20.6% more than the year before. The early jump in 2017 is mostly bookkeeping — the programme expanded the number of organisations allowed to assign CVEs — but look at the growth rate after that: about 8% a year from 2017 to 2021, about 24% a year from 2021 to 2025. And 2026 is in another league. In June, FIRST — the global forum of incident-response teams — raised its forecast for the year to about 66,000; according to CISA, more than 67,000 had already been published by 18 September.

CVEs published per year. 2026 (hatched) is year-to-date to 18 September, per CISA. Counting basis: CVE records by publication date; small differences (around 1%) exist between trackers. Sources: Jerry Gamblin, 2024 and 2025 CVE Data Reviews (2023–2025); CVE Details and vulnerabilitydata.io compilations of CVE.org data (2016–2022); CISA via Cloud Security Alliance (2026).

Part of the 2026 surge is again counting — FIRST notes that VulnCheck, acting as a "numbering authority of last resort", issued 3,119% more CVEs than a year earlier, and GitHub's advisories rose 449% — but a significant part is a new force: AI. In April 2026 Anthropic launched Project Glasswing around an unreleased model, Claude Mythos Preview; by 22 May Anthropic and its roughly 50 partners had found more than 10,000 high- or critical-severity vulnerabilities. Epoch AI found that notable organisations disclosed more than three and a half times the previous monthly record of high- and critical-severity CVEs in June 2026. PHP2Shell itself was found by researchers at the security firms Calif and Wiz using AI models, in coordination with OpenAI and the PHP team. In April, NIST announced that its National Vulnerability Database would no longer try to analyse every CVE, citing a 263% rise in submissions between 2020 and 2025. This curve is not just rising; its slope is rising. That is acceleration in the strict sense.

2. The speed from disclosure to attack

Mandiant has tracked the average "time-to-exploit" — how long after a flaw becomes known attackers start using it. It was 63 days in 2018–19, 44 days in 2020–21, 32 days in 2021–22 and just 5 days in 2023. M-Trends 2026 puts the estimated mean below zero, at about minus seven days — exploitation, on average, now starts before a patch is out. VulnCheck found that 28.9% of the vulnerabilities it recorded as exploited in 2025 were attacked on or before the day they were published. PHP2Shell illustrates it: Amazon's honeypots recorded an exploitation attempt on 17 October, four days before public disclosure.

Average days from disclosure to first exploitation. Mandiant changed method slightly between periods; the direction is unambiguous. M-Trends 2026 puts the estimated mean at about −7 days (not plotted). Sources: Mandiant / Google Cloud, Time-to-Exploit Trends 2023; M-Trends 2026 as reported by the Cloud Security Alliance.

Meanwhile defenders patch more slowly than attackers exploit. Verizon's 2026 DBIR found that only 26% of vulnerabilities in CISA's exploited catalogue were fully fixed by organisations, down from 38%, and that the median time to patch them rose to 43 days. For the first time in the report's history, exploiting a vulnerability overtook stolen credentials as the most common way breaches begin (31%, up from 20%).

3. Dependence on others

The most underrated curve is interdependence. In the 2024 DBIR, third parties were involved in 15% of breaches; in 2025, 30%; in 2026, 48%. Sonatype counted more than 454,600 new malicious open-source packages in 2025 alone, bringing its cumulative total above 1.2 million. October 2026 is full of examples of one failure becoming many: ransomware at a single Japanese cloud provider, IDC Frontier, hit 495 companies and local governments that used its service; one programming language's flaw pushed governments across Europe to switch websites off; one certificate authority's flawed key ceremony forced every major browser maker to act.

This is why the October week felt like acceleration. When much of the web runs on the same handful of components, a single flaw produces a synchronised event: everyone patches, or switches off, on the same afternoon.

4. Raw scale

The largest DDoS attacks went from about 1 terabit per second (the Mirai botnet against OVH and Dyn in 2016) to 31.4 Tbps, mitigated by Cloudflare at the end of 2025 and disclosed in February 2026 — roughly a thirty-fold increase. Cloudflare mitigated 805 attacks above 1 Tbps in the second quarter of 2026 alone, six times the previous quarter.

What is growing fast but steadily

Losses reported to the FBI rose from $1.45 billion in 2016 to $20.9 billion in 2025, crossing one million complaints for the first time. That is a 14-fold increase, about 34% a year. But the rate is remarkably constant: roughly 37% a year from 2016 to 2021, roughly 32% a year from 2021 to 2025. This is a fast exponential, driven mostly by fraud — investment scams ($8.6 billion) and business email compromise ($3.0 billion) — rather than by technical hacking. Exponential, yes; accelerating, no.

Losses reported to the FBI's IC3, US$ billion. US-centric and dependent on victims choosing to report; treat as a floor. The 2016 report itself gave "in excess of $1.3 billion"; IC3's later five-year tables restate 2016 at about $1.45–1.5 billion, the figure used here. Source: FBI IC3 Internet Crime Reports 2016–2025.

The cost of an individual corporate breach has grown much more slowly. IBM's global average went from $3.62 million in 2017 to $4.88 million in 2024, dipped to $4.44 million in 2025 — the first fall in five years, credited to faster detection — then rose to a record $4.99 million in 2026, with IBM reporting that AI-driven attacks had increased 56% and added about $1 million to the cost of a breach. Roughly 3–4% a year over the decade, with a recent jump.

Global average cost of a data breach, US$ million, by report year. Source: IBM / Ponemon Institute, Cost of a Data Breach 2017–2026.

What is flat

Here is the part that rarely makes headlines. The number of zero-days — flaws exploited before any fix exists — that Google's threat intelligence group tracks each year has sat in a 60–100 band for four years: 100 in 2023, 78 in 2024, 90 in 2025. CISA's catalogue of vulnerabilities known to be exploited added 187 entries in 2023, about 185 in 2024 and 245 in 2025 — up, but nothing like the CVE curve. VulnCheck found that of 1,061 publicly attributed AI-assisted discoveries in the first half of 2026, 14 (1.3%) had been confirmed as exploited — roughly the rate for vulnerabilities overall.

FIRST's forecasters reach the same conclusion: once the flood of new CVEs is filtered for the ones attackers actually use or are likely to use, the actionable burden has stayed essentially flat. Jerry Gamblin, one of the forecast's authors, put it as rain that doesn't stop — the job is no longer counting the drops but knowing which ones will overrun the levee. Ransomware revenue tells a similar story. On-chain payments tracked by Chainalysis jumped in 2020 and have since moved in a band of roughly $0.6–1.25 billion a year: $983 million in 2021, a record in 2023 ($1.1 billion as first reported, later revised to about $1.25 billion), $892 million in 2024, $820 million in 2025 — even though claimed attacks rose about 50% in 2025.

Ransomware payments on-chain, US$ million. 2019–2023 as first reported in Chainalysis' 2024 report (2023 later revised to about $1.25bn); 2024–2025 from its 2026 report. Chainalysis revises earlier years upward as it attributes more payments, so recent years will likely rise. Source: Chainalysis Crypto Crime Reports.

What is getting better

Defenders have real victories, and they are not small.

Detection. Mandiant's global median dwell time — how long an intruder sits inside a network before being found — was 99 days in 2016 and 10 days in 2023. It rose to 14 days in 2025, driven by long espionage campaigns and North Korean fake-IT-worker schemes, so the improvement has stalled. But a decade ago an attacker had three months; now it is two weeks. Part of the fall reflects ransomware, which announces itself; part is better tooling.

Global median dwell time, days. Source: Mandiant M-Trends 2017–2026 (reporting periods vary slightly).

Refusal to pay. In early 2019, 85% of ransomware victims handled by Coveware paid. By the third quarter of 2025, 23% did — Coveware's lowest figure on record. Chainalysis puts the 2025 payment rate at 28%, a record low. Criminals are attacking more and earning per attack less.

Safer code. In 2019, 76% of Android's vulnerabilities were memory-safety bugs, the class behind many of the worst exploits. In 2025, after Google wrote new code in memory-safe languages such as Rust, the share fell below 20% for the first time. Browser zero-days, once the elite attacker's tool of choice, fell to historic lows in Google's 2025 review. And encryption became the default: in late 2016 Google reported, for the first time, that just over half of pages loaded in desktop Chrome used HTTPS.

Institutions. CISA did not exist in 2016; it was created in 2018. The EU's NIS2 directive, DORA for finance and national cyber agencies now issue coordinated warnings within hours, as October showed. ENISA, analysing 4,875 incidents in Europe from mid-2024 to mid-2025, found that hacktivists accounted for almost 80% of them, mostly through DDoS campaigns, and that only 2% of hacktivist incidents actually disrupted a service — loud, but mostly low-impact. It named ransomware the most impactful threat.

So: is it accelerating?

Indicator	Then	Now	Shape
CVEs published per year	6,449 (2016)	48,185 (2025); 67,000+ by mid-Sept 2026	Accelerating
Time from disclosure to exploitation (Mandiant)	63 days (2018–19)	5 days (2023); est. −7 days (M-Trends 2026)	Accelerating
Third-party share of breaches (Verizon)	15% (2024 DBIR)	48% (2026 DBIR)	Accelerating
Largest DDoS	~1 Tbps (2016)	31.4 Tbps (late 2025)	Rising fast
Losses reported to FBI IC3	$1.45bn (2016)	$20.9bn (2025)	Steady exponential (~30%/yr)
Average breach cost (IBM)	$3.62m (2017)	$4.99m (2026)	Slow rise, recent jump
Zero-days exploited in the wild (Google)	100 (2023)	90 (2025)	Flat band, 60–100
Additions to CISA's exploited catalogue	187 (2023)	245 (2025)	Roughly flat
Ransomware payments (Chainalysis)	$905m (2020)	$820m (2025, preliminary)	Flat band
Median dwell time (Mandiant)	99 days (2016)	14 days (2025)	Improved, now stalling
Victims paying ransom (Coveware)	85% (Q1 2019)	23% (Q3 2025)	Improved
Android memory-safety bugs	76% (2019)	<20% (2025)	Improved

The honest answer is: yes, but not in the way the viral post implies. The number of successful attacks is not exploding; the core of what attackers actually exploit has been surprisingly stable, and defenders have measurably shortened detection, cut ransom revenue and eliminated whole classes of bugs.

What is accelerating are three things, and they compound each other:

Discovery. Flaws are being found faster than ever, increasingly with AI. Anthropic's own May 2026 update on Glasswing reported that of about 530 high- or critical-severity bugs disclosed to open-source maintainers, 75 had been patched; some maintainers had asked it to slow down so they could keep up.
Exploitation speed. The average window between disclosure and attack has collapsed from two months to days, and by Mandiant's latest estimate is now negative.
Concentration. More of the world depends on fewer shared components, platforms and suppliers, so a single flaw becomes a simultaneous, global event.

Against these stands a defence curve that improves roughly linearly, and a repair capacity — volunteer maintainers, stretched IT teams, patch cycles measured in weeks — that has barely changed. The gap between how fast flaws are found and how fast they can be fixed is the real curve to watch. In 2016 that gap was measured in months. In October 2026 governments told website owners to switch off for an afternoon because there was no gap left at all.

If tools as capable as those that found PHP2Shell become freely available to attackers — and Washington Post reporting on PHP2Shell noted that nearly-as-capable models had become freely downloadable within the past month — the flat lines in this review are the ones most likely to bend next. That is the indicator to watch in 2027: not the CVE count, but whether exploited zero-days and CISA's catalogue break out of their band.

What to watch next

Google's 2026 zero-day review (early 2027): does the count break above 100?
CISA KEV additions in 2026 against 245 in 2025 (FIRST projected a pace of roughly 290–300 at mid-year).
Mandiant M-Trends 2027: dwell time and time-to-exploit.
Patch rates: Verizon's share of exploited flaws actually fixed (26% in 2025).
Whether AI-assisted fixing catches up with AI-assisted finding — the only trend that can close the gap.

Sources

Primary publishers are linked first; where a primary page could not be reached, the reputable outlet that reported it is named.

Vulnerability counts. Jerry Gamblin, 2025 CVE Data Review and 2024 CVE Data Review; CVE.org-based yearly counts via CVE Details and vulnerabilitydata.io; FIRST, 2026 Vulnerability Forecast Update and SecurityBrief on the forecast; CISA's 2026 count via Cloud Security Alliance (Sept 2026); NIST, NVD prioritisation announcement (April 2026).
AI-assisted discovery. Anthropic, Project Glasswing: An initial update (22 May 2026) and CSO Online on the update; Epoch AI, CVE severity spike; VulnCheck, State of Exploitation 1H 2026.
Exploitation speed and dwell time. Mandiant/Google Cloud, Time-to-Exploit Trends 2023; M-Trends 2021, 2024 and 2026; the −7-day estimate as reported by the Cloud Security Alliance.
Zero-days and exploited vulnerabilities. Google Threat Intelligence Group, 2025 Zero-Days in Review; CISA KEV annual additions as compiled by Cyble and SecurityWeek.
How breaches start. Verizon 2026 DBIR, as reported by SecurityWeek and TechRepublic.
Cybercrime losses. FBI IC3 annual reports: 2016, 2024, 2025 and the five-year tables in intervening reports.
Breach costs. IBM/Ponemon, Cost of a Data Breach 2024, 2026 findings; 2017–2023 and 2025 values as reported by IBM and Infosecurity Magazine.
Ransomware. Chainalysis 2024 and 2026 Crypto Crime Reports, via TechTarget and BleepingComputer; Coveware quarterly reports, via Security Affairs and HIPAA Journal; CISA/FBI #StopRansomware: SafePay advisory.
Supply chain and DDoS. Sonatype, 2026 State of the Software Supply Chain; Cloudflare reporting via BleepingComputer (31.4 Tbps) and SiliconANGLE (H1 2026); Elie Bursztein, Inside Mirai.
Defensive progress. Google, Rust in Android (Nov 2025); HTTPS in 2016 via Threatpost; ENISA, Threat Landscape 2025.
PHP2Shell, 20–23 October 2026. CERT-EU advisory 2026-018; FBI/NSA recommendations via the American Hospital Association; ABC News (CISA, FBI, NCSC, OpenAI statements); Reuters via The Daily Record; Washington Post via ADN; Rijksoverheid (Dutch government); Dutch IT Channel; Welingelichte Kringen (ANP); LBC (UK NCSC); Jiji Press (Takaichi); Japan's national cybersecurity office posts; Help Net Security (Amazon MadPot); W3Techs.
Other October events. GitLab via Help Net Security and SecurityOnline; Datadog Security Labs on LiteLLM; Railway security disclosure; The Hacker News on Tor relays; CSO Online and BleepingComputer on eMudhra; BleepingComputer on IDC Frontier; on Japan's "emergency": The Next Web (citing the FT and AP) and Jiji Press.

Researched and built with the help of Claude (Anthropic), based on the public sources listed above. Corrections welcome.

Library · Dati · 25 ottobre 2026

Sta accelerando? Dieci anni di cybersicurezza, misurati

Una settimana di ottobre 2026 ha dato l'impressione che internet stesse andando in pezzi. I dati dal 2016 al 2026 dicono qualcosa di più preciso: alcune curve piegano verso l'alto, altre sono piatte e alcune migliorano. Il pericolo sta nel divario tra loro.

Circa 12 minuti di lettura11 serie di datiUna fonte per ogni cifra

Grafico, 2016–2026: le vulnerabilità pubblicate ogni anno sono passate da 6.449 a oltre 67.000 entro settembre 2026; gli zero-day sfruttati prima di una correzione sono rimasti tra 78 e 100 l'anno nel 2023–2025; il tempo mediano in cui gli intrusi restano nascosti è sceso da 99 giorni nel 2016 a 14 nel 2025; la quota di falle sfruttate corrette del tutto è scesa dal 38% nel 2024 al 26% nel 2025. — Quattro curve, ognuna in scala rispetto al proprio massimo. Il dato del 2026 copre solo il periodo da gennaio a metà settembre.

La settimana che ha fatto nascere la domanda

A fine ottobre ha circolato molto un post che elencava, in un unico paragrafo senza respiro, tutto ciò che era andato storto in pochi giorni. Qualcuno lo ha condiviso su Facebook con una domanda semplice: avete anche voi la sensazione che le cose stiano accelerando? Prima di rispondere vale la pena verificare il paragrafo stesso, perché in gran parte regge.

Il 21 ottobre 2026 PHP, il linguaggio lato server usato da circa il 70% dei siti web di cui è nota la tecnologia, ha pubblicato correzioni d'emergenza per due falle oggi note come PHP2Shell (CVE-2026-109618 e CVE-2026-109619). Entrambe permettono a un attaccante non autenticato di eseguire codice su un server web. I dettagli sono trapelati prima che la correzione fosse pronta: FBI e NSA, l'NCSC britannico e l'ufficio nazionale giapponese per la cybersicurezza hanno quindi consigliato a chi non poteva aggiornare subito di mettere offline i propri sistemi; CERT-EU ha raccomandato di isolarli dalle reti pubbliche. Secondo i dati di Censys riportati da Reuters, circa 1,5 milioni di host su 2,6 milioni usavano una versione di PHP per cui non esiste correzione. Per precauzione sono stati spenti siti governativi nei Paesi Bassi, in Finlandia e in Francia — nei Paesi Bassi anche Overheid.nl, MijnOverheid e DigiD — e lo stesso hanno fatto il sito dell'agenzia olandese per la cybersicurezza, quello del Porto di Rotterdam, alcuni sistemi di Wikipedia e, per breve tempo, l'Internet Archive. Secondo i media olandesi, anche l'agenzia di stampa nazionale ANP ha spento alcuni sistemi per precauzione. La sera stessa la prima ministra giapponese, Sanae Takaichi, ha pubblicato su X un appello urgente ai gestori di siti web.

Anche il resto dell'elenco è documentato: la seconda falla di esecuzione remota di codice con gravità massima (CVSS 10) in dieci giorni per GitLab; una versione manomessa di LiteLLM, un gateway per l'IA molto diffuso, che per circa due ore ha distribuito un programma per il furto di credenziali e un trojan di accesso remoto — la seconda compromissione dell'anno; Railway che ha sospeso tutte le pubblicazioni dopo che degli intrusi avevano raggiunto i segreti salvati dai clienti; un avviso congiunto di Stati Uniti, Germania e Regno Unito secondo cui il gruppo ransomware SafePay ha colpito dal 2024 almeno 600 organizzazioni di infrastrutture critiche; più di 300 nodi di uscita Tor dirottati per intercettare gli accessi SSH; ed eMudhra, autorità di certificazione indiana, le cui chiavi private intermedie si sono rivelate numeri minuscoli — una era letteralmente 4 — al punto che Google, Mozilla, Apple e Microsoft hanno bloccato otto certificati.

Tre dettagli della versione virale vanno corretti. Il punteggio di gravità ufficiale di PHP è 9,2 su 10, non 10. Lo «stato di emergenza nel cyberspazio» del Giappone è un'espressione usata il 9 ottobre da Masaaki Taira, capo della struttura per la cybersicurezza del partito di governo, durante una riunione di partito dopo le violazioni subite da oltre 20 grandi aziende: il governo non ha dichiarato alcuna emergenza. E il post della prima ministra è uscito mercoledì sera, prima della pubblicazione della correzione alle 23 di Tokyo, non all'alba. Gli eventi di fondo sono reali.

La domanda, quindi, è legittima. Ma una settimana difficile è un punto, non una curva. Per capire se le cose stanno accelerando servono le curve.

Come leggere le curve

Non esiste un numero unico per la «cybersicurezza». Esistono serie di lungo periodo, ognuna delle quali misura qualcosa di diverso e ha i propri punti ciechi. Ho usato quelle pubbliche, metodologicamente stabili e pubblicate da chi raccoglie i dati: il programma CVE (vulnerabilità rese note), l'Internet Crime Complaint Center dell'FBI (perdite denunciate), M-Trends di Mandiant (quanto restano nascosti gli intrusi e quanto in fretta vengono sfruttate le falle), le analisi di Google sugli zero-day, il catalogo CISA delle vulnerabilità sfruttate, Chainalysis e Coveware (ransomware), IBM/Ponemon (costi delle violazioni), il DBIR di Verizon (come iniziano le violazioni) ed ENISA (Europa).

Due avvertenze valgono ovunque. Primo, molte di queste serie misurano il rilevamento e la segnalazione tanto quanto gli attacchi: più enti autorizzati ad assegnare numeri producono più CVE; più consapevolezza produce più denunce all'FBI. Secondo, «accelerare» ha un significato preciso. Ciò che cresce del 30% ogni anno cresce in modo esponenziale e sembra inarrestabile, ma non accelera: perché acceleri deve aumentare il tasso di crescita stesso. Questa distinzione si rivela importante.

CVE pubblicatePerdite da cybercrimine denunciate (FBI IC3)Tempo mediano di permanenza (Mandiant)

La divergenza in un'immagine. Ogni serie è indicizzata a 2016 = 1, scala logaritmica. Le vulnerabilità rese note sono aumentate di 7,5 volte e le perdite denunciate di 14 volte, mentre il tempo in cui gli intrusi restano nascosti è sceso a circa un settimo. Fonti: dati CVE.org elaborati da Jerry Gamblin; rapporti annuali FBI IC3; Mandiant M-Trends 2017–2026.

Che cosa sta davvero accelerando

1. Il volume delle falle note

Nel 2016 il programma CVE ha pubblicato circa 6.450 vulnerabilità. Nel 2025 ne ha pubblicate 48.185, un record e il 20,6% in più dell'anno precedente. Il salto iniziale del 2017 è soprattutto contabile — il programma aveva ampliato il numero di organizzazioni autorizzate ad assegnare CVE — ma conviene guardare il tasso di crescita successivo: circa l'8% l'anno dal 2017 al 2021, circa il 24% l'anno dal 2021 al 2025. E il 2026 è di un'altra categoria. A giugno FIRST — il forum mondiale dei team di risposta agli incidenti — ha alzato a circa 66.000 la previsione per l'anno; secondo CISA, al 18 settembre ne erano già state pubblicate più di 67.000.

CVE pubblicate ogni anno. Il 2026 (tratteggiato) arriva al 18 settembre, secondo CISA. Base di conteggio: record CVE per data di pubblicazione; tra le diverse fonti esistono piccole differenze (circa l'1%). Fonti: Jerry Gamblin, 2024 e 2025 CVE Data Review (2023–2025); elaborazioni di CVE Details e vulnerabilitydata.io sui dati CVE.org (2016–2022); CISA tramite la Cloud Security Alliance (2026).

Anche nell'impennata del 2026 c'è una parte contabile — FIRST nota che VulnCheck, in qualità di «ente di numerazione di ultima istanza», ha emesso il 3.119% di CVE in più rispetto a un anno prima, e che gli avvisi di GitHub sono aumentati del 449% — ma una parte significativa viene da una forza nuova: l'IA. Ad aprile 2026 Anthropic ha lanciato Project Glasswing attorno a un modello non pubblico, Claude Mythos Preview; al 22 maggio Anthropic e i suoi circa 50 partner avevano trovato più di 10.000 vulnerabilità di gravità alta o critica. Epoch AI ha rilevato che a giugno 2026 le principali organizzazioni hanno reso note oltre tre volte e mezzo le CVE di gravità alta e critica del precedente record mensile. La stessa PHP2Shell è stata trovata da ricercatori delle società di sicurezza Calif e Wiz con l'aiuto di modelli di IA, in coordinamento con OpenAI e il team di PHP. Ad aprile il NIST ha annunciato che il suo National Vulnerability Database non cercherà più di analizzare ogni CVE, citando un aumento del 263% delle segnalazioni tra il 2020 e il 2025. Questa curva non sta solo salendo: sta diventando più ripida. È un'accelerazione in senso stretto.

2. La velocità tra divulgazione e attacco

Mandiant misura il «tempo di sfruttamento» medio, cioè quanto tempo passa da quando una falla diventa nota a quando gli attaccanti iniziano a usarla. Era di 63 giorni nel 2018–19, 44 nel 2020–21, 32 nel 2021–22 e appena 5 nel 2023. M-Trends 2026 stima la media sotto lo zero, a circa meno sette giorni: in media lo sfruttamento ora inizia prima che esista una correzione. VulnCheck ha rilevato che il 28,9% delle vulnerabilità registrate come sfruttate nel 2025 è stato attaccato il giorno stesso della pubblicazione o prima. PHP2Shell lo dimostra: gli honeypot di Amazon hanno registrato un tentativo di sfruttamento il 17 ottobre, quattro giorni prima della divulgazione pubblica.

Giorni medi tra divulgazione e primo sfruttamento. Mandiant ha leggermente modificato il metodo tra un periodo e l'altro; la direzione è inequivocabile. M-Trends 2026 stima la media a circa −7 giorni (non rappresentata). Fonti: Mandiant / Google Cloud, Time-to-Exploit Trends 2023; M-Trends 2026 come riportato dalla Cloud Security Alliance.

Intanto chi difende aggiorna più lentamente di quanto chi attacca sfrutti. Il DBIR 2026 di Verizon ha rilevato che solo il 26% delle vulnerabilità del catalogo CISA delle falle sfruttate era stato corretto completamente dalle organizzazioni, contro il 38% dell'anno prima, e che il tempo mediano di correzione è salito a 43 giorni. Per la prima volta nella storia del rapporto, lo sfruttamento di una vulnerabilità ha superato le credenziali rubate come modo più comune in cui iniziano le violazioni (31%, contro il 20%).

3. La dipendenza dagli altri

La curva più sottovalutata è l'interdipendenza. Nel DBIR 2024 terze parti erano coinvolte nel 15% delle violazioni; nel 2025 nel 30%; nel 2026 nel 48%. Sonatype ha contato oltre 454.600 nuovi pacchetti open source malevoli nel solo 2025, portando il totale cumulativo sopra 1,2 milioni. L'ottobre 2026 è pieno di esempi in cui un singolo guasto ne diventa molti: il ransomware presso un solo fornitore cloud giapponese, IDC Frontier, ha colpito 495 aziende ed enti locali che ne usavano il servizio; la falla di un solo linguaggio di programmazione ha spinto governi di tutta Europa a spegnere siti web; la cerimonia di generazione delle chiavi difettosa di una sola autorità di certificazione ha costretto tutti i principali produttori di browser a intervenire.

Per questo la settimana di ottobre è sembrata un'accelerazione. Quando gran parte del web poggia sugli stessi pochi componenti, una sola falla produce un evento sincronizzato: tutti aggiornano, o spengono, nello stesso pomeriggio.

4. La scala

I più grandi attacchi DDoS sono passati da circa 1 terabit al secondo (la botnet Mirai contro OVH e Dyn nel 2016) a 31,4 Tbps, un attacco bloccato da Cloudflare alla fine del 2025 e reso noto a febbraio 2026: un aumento di circa trenta volte. Nel solo secondo trimestre del 2026 Cloudflare ha bloccato 805 attacchi oltre 1 Tbps, sei volte quelli del trimestre precedente.

Che cosa cresce in fretta, ma a ritmo costante

Le perdite denunciate all'FBI sono passate da 1,45 miliardi di dollari nel 2016 a 20,9 miliardi nel 2025, superando per la prima volta il milione di denunce. È un aumento di 14 volte, circa il 34% l'anno. Ma il ritmo è notevolmente costante: circa il 37% l'anno dal 2016 al 2021, circa il 32% l'anno dal 2021 al 2025. È un'esponenziale rapida, alimentata soprattutto dalle frodi — truffe sugli investimenti (8,6 miliardi di dollari) e compromissione della posta aziendale (3,0 miliardi) — più che dall'hacking tecnico. Esponenziale sì; in accelerazione no.

Perdite denunciate all'IC3 dell'FBI, miliardi di dollari. Dati centrati sugli Stati Uniti e dipendenti dalla scelta delle vittime di denunciare: vanno letti come un minimo. Il rapporto 2016 indicava «oltre 1,3 miliardi di dollari»; le tabelle quinquennali successive dell'IC3 riportano per il 2016 circa 1,45–1,5 miliardi, il dato usato qui. Fonte: FBI IC3, Internet Crime Report 2016–2025.

Il costo di una singola violazione aziendale è cresciuto molto più lentamente. La media globale di IBM è passata da 3,62 milioni di dollari nel 2017 a 4,88 milioni nel 2024, è scesa a 4,44 milioni nel 2025 — il primo calo in cinque anni, attribuito a un rilevamento più rapido — ed è poi salita al record di 4,99 milioni nel 2026, con IBM che riferisce un aumento del 56% degli attacchi guidati dall'IA, che aggiungono circa 1 milione di dollari al costo di una violazione. Circa il 3–4% l'anno nel decennio, con un balzo recente.

Costo medio globale di una violazione dei dati, milioni di dollari, per anno del rapporto. Fonte: IBM / Ponemon Institute, Cost of a Data Breach 2017–2026.

Che cosa resta piatto

Ecco la parte che raramente fa notizia. Il numero di zero-day — falle sfruttate prima che esista una correzione — rilevati ogni anno dal gruppo di intelligence sulle minacce di Google è rimasto per quattro anni in una fascia tra 60 e 100: 100 nel 2023, 78 nel 2024, 90 nel 2025. Il catalogo CISA delle vulnerabilità di cui è noto lo sfruttamento ha aggiunto 187 voci nel 2023, circa 185 nel 2024 e 245 nel 2025: in aumento, ma nulla di paragonabile alla curva delle CVE. VulnCheck ha rilevato che, su 1.061 scoperte attribuite pubblicamente all'IA nel primo semestre del 2026, 14 (l'1,3%) risultavano sfruttate: più o meno la stessa percentuale delle vulnerabilità in generale.

I previsori di FIRST arrivano alla stessa conclusione: se si filtra l'ondata di nuove CVE tenendo solo quelle che gli attaccanti usano davvero o probabilmente useranno, il carico su cui intervenire è rimasto sostanzialmente piatto. Jerry Gamblin, uno degli autori della previsione, lo ha descritto come una pioggia che non smette: il compito non è più contare le gocce, ma capire quali faranno tracimare l'argine. I ricavi del ransomware raccontano una storia simile. I pagamenti in criptovaluta tracciati da Chainalysis sono balzati nel 2020 e da allora oscillano tra circa 0,6 e 1,25 miliardi di dollari l'anno: 983 milioni nel 2021, un record nel 2023 (1,1 miliardi secondo la prima stima, poi rivista a circa 1,25 miliardi), 892 milioni nel 2024, 820 milioni nel 2025 — anche se gli attacchi rivendicati nel 2025 sono aumentati di circa il 50%.

Pagamenti di riscatti ransomware in criptovaluta, milioni di dollari. 2019–2023 secondo la prima stima del rapporto Chainalysis 2024 (il 2023 è stato poi rivisto a circa 1,25 miliardi); 2024–2025 dal rapporto 2026. Chainalysis rivede al rialzo gli anni precedenti man mano che attribuisce altri pagamenti, quindi gli anni recenti probabilmente cresceranno. Fonte: Chainalysis, Crypto Crime Report.

Che cosa sta migliorando

Chi difende ha ottenuto vittorie reali, e non piccole.

Rilevamento. Il tempo mediano globale di permanenza misurato da Mandiant — quanto resta un intruso in una rete prima di essere scoperto — era di 99 giorni nel 2016 e di 10 nel 2023. È risalito a 14 giorni nel 2025, per via di lunghe campagne di spionaggio e degli schemi nordcoreani di falsi lavoratori IT, quindi il miglioramento si è fermato. Ma dieci anni fa un attaccante aveva tre mesi; oggi ne ha due settimane. Parte del calo riflette il ransomware, che si annuncia da solo; parte è merito di strumenti migliori.

Tempo mediano globale di permanenza, giorni. Fonte: Mandiant M-Trends 2017–2026 (i periodi di riferimento variano leggermente).

Rifiuto di pagare. All'inizio del 2019 pagava l'85% delle vittime di ransomware seguite da Coveware. Nel terzo trimestre del 2025 ha pagato il 23%, il dato più basso mai registrato da Coveware. Chainalysis stima per il 2025 un tasso di pagamento del 28%, un minimo storico. I criminali attaccano di più e guadagnano meno per attacco.

Codice più sicuro. Nel 2019 il 76% delle vulnerabilità di Android erano errori di sicurezza della memoria, la categoria dietro molti degli attacchi peggiori. Nel 2025, dopo che Google ha scritto il nuovo codice in linguaggi sicuri per la memoria come Rust, la quota è scesa per la prima volta sotto il 20%. Gli zero-day nei browser, un tempo lo strumento preferito degli attaccanti più sofisticati, sono scesi ai minimi storici nell'analisi di Google sul 2025. E la cifratura è diventata la norma: a fine 2016 Google riferiva per la prima volta che poco più della metà delle pagine caricate in Chrome su desktop usava HTTPS.

Istituzioni. Nel 2016 la CISA non esisteva; è nata nel 2018. La direttiva europea NIS2, il regolamento DORA per la finanza e le agenzie nazionali per la cybersicurezza oggi emettono avvisi coordinati nel giro di poche ore, come ha mostrato ottobre. ENISA, analizzando 4.875 incidenti in Europa tra metà 2024 e metà 2025, ha rilevato che quasi l'80% era opera di hacktivisti, soprattutto con campagne DDoS, e che solo il 2% degli incidenti hacktivisti ha davvero interrotto un servizio: molto rumore, ma in gran parte poco impatto. Ha indicato il ransomware come la minaccia con l'impatto maggiore.

Allora: sta accelerando?

Indicatore	Allora	Oggi	Andamento
CVE pubblicate ogni anno	6.449 (2016)	48.185 (2025); oltre 67.000 a metà settembre 2026	In accelerazione
Tempo tra divulgazione e sfruttamento (Mandiant)	63 giorni (2018–19)	5 giorni (2023); stima −7 giorni (M-Trends 2026)	In accelerazione
Quota di violazioni con terze parti (Verizon)	15% (DBIR 2024)	48% (DBIR 2026)	In accelerazione
DDoS più grande	~1 Tbps (2016)	31,4 Tbps (fine 2025)	In rapida crescita
Perdite denunciate all'IC3 dell'FBI	1,45 mld $ (2016)	20,9 mld $ (2025)	Esponenziale costante (~30% l'anno)
Costo medio di una violazione (IBM)	3,62 mln $ (2017)	4,99 mln $ (2026)	Crescita lenta, balzo recente
Zero-day sfruttati (Google)	100 (2023)	90 (2025)	Fascia piatta, 60–100
Aggiunte al catalogo CISA delle falle sfruttate	187 (2023)	245 (2025)	Più o meno piatto
Pagamenti ransomware (Chainalysis)	905 mln $ (2020)	820 mln $ (2025, provvisorio)	Fascia piatta
Tempo mediano di permanenza (Mandiant)	99 giorni (2016)	14 giorni (2025)	Migliorato, ora fermo
Vittime che pagano il riscatto (Coveware)	85% (1° trim. 2019)	23% (3° trim. 2025)	Migliorato
Falle di sicurezza della memoria in Android	76% (2019)	<20% (2025)	Migliorato

La risposta onesta è: sì, ma non nel modo in cui lo suggerisce il post virale. Il numero di attacchi riusciti non sta esplodendo; il nucleo di ciò che gli attaccanti sfruttano davvero è rimasto sorprendentemente stabile, e chi difende ha ridotto in modo misurabile i tempi di rilevamento, tagliato i ricavi dei riscatti ed eliminato intere categorie di errori.

Ad accelerare davvero sono tre cose, che si rafforzano a vicenda:

La scoperta. Le falle vengono trovate più in fretta che mai, sempre più spesso con l'IA. L'aggiornamento di Anthropic su Glasswing di maggio 2026 riferiva che, su circa 530 errori di gravità alta o critica segnalati ai manutentori open source, 75 erano stati corretti; alcuni manutentori avevano chiesto di rallentare per riuscire a starle dietro.
La velocità di sfruttamento. L'intervallo medio tra divulgazione e attacco è crollato da due mesi a pochi giorni e, secondo l'ultima stima di Mandiant, ora è negativo.
La concentrazione. Una parte sempre maggiore del mondo dipende da un numero sempre minore di componenti, piattaforme e fornitori condivisi, così una sola falla diventa un evento simultaneo e globale.

A tutto questo si contrappongono una curva della difesa che migliora in modo più o meno lineare e una capacità di riparazione — manutentori volontari, team IT sotto pressione, cicli di aggiornamento misurati in settimane — che è cambiata appena. Il divario tra la velocità con cui le falle vengono trovate e quella con cui possono essere corrette è la vera curva da osservare. Nel 2016 quel divario si misurava in mesi. A ottobre 2026 i governi hanno chiesto ai gestori di siti web di spegnere tutto per un pomeriggio, perché di margine non ne restava più.

Se strumenti capaci quanto quelli che hanno trovato PHP2Shell diventeranno liberamente disponibili agli attaccanti — e il Washington Post, scrivendo di PHP2Shell, ha notato che nell'ultimo mese modelli quasi altrettanto capaci erano diventati scaricabili gratuitamente — saranno le linee piatte di questa analisi le più propense a piegarsi. È l'indicatore da seguire nel 2027: non il numero di CVE, ma se gli zero-day sfruttati e il catalogo CISA usciranno dalla loro fascia.

Che cosa osservare

L'analisi di Google sugli zero-day del 2026 (inizio 2027): il conteggio supererà quota 100?
Le aggiunte al catalogo KEV della CISA nel 2026, contro le 245 del 2025 (a metà anno FIRST prevedeva un ritmo di circa 290–300).
M-Trends 2027 di Mandiant: tempo di permanenza e tempo di sfruttamento.
I tassi di correzione: la quota di falle sfruttate davvero corrette secondo Verizon (26% nel 2025).
Se la correzione assistita dall'IA riuscirà a tenere il passo con la scoperta assistita dall'IA: l'unica tendenza che può chiudere il divario.

Fonti

Si citano per primi gli editori primari; quando una pagina primaria non era raggiungibile, si indica la testata autorevole che ne ha dato conto.

Numero di vulnerabilità. Jerry Gamblin, 2025 CVE Data Review e 2024 CVE Data Review; conteggi annuali basati su CVE.org tramite CVE Details e vulnerabilitydata.io; FIRST, 2026 Vulnerability Forecast Update e SecurityBrief sulla previsione; il conteggio CISA 2026 tramite la Cloud Security Alliance (settembre 2026); NIST, annuncio sulle priorità del NVD (aprile 2026).
Scoperte assistite dall'IA. Anthropic, Project Glasswing: An initial update (22 maggio 2026) e CSO Online sull'aggiornamento; Epoch AI, CVE severity spike; VulnCheck, State of Exploitation 1H 2026.
Velocità di sfruttamento e tempo di permanenza. Mandiant/Google Cloud, Time-to-Exploit Trends 2023; M-Trends 2021, 2024 e 2026; la stima di −7 giorni come riportata dalla Cloud Security Alliance.
Zero-day e vulnerabilità sfruttate. Google Threat Intelligence Group, 2025 Zero-Days in Review; aggiunte annuali al KEV della CISA secondo Cyble e SecurityWeek.
Come iniziano le violazioni. Verizon DBIR 2026, come riportato da SecurityWeek e TechRepublic.
Perdite da cybercrimine. Rapporti annuali FBI IC3: 2016, 2024, 2025 e le tabelle quinquennali dei rapporti intermedi.
Costi delle violazioni. IBM/Ponemon, Cost of a Data Breach 2024, risultati 2026; valori 2017–2023 e 2025 come riportati da IBM e da Infosecurity Magazine.
Ransomware. Chainalysis, Crypto Crime Report 2024 e 2026, tramite TechTarget e BleepingComputer; rapporti trimestrali di Coveware tramite Security Affairs e HIPAA Journal; CISA/FBI, avviso #StopRansomware su SafePay.
Catena di fornitura e DDoS. Sonatype, 2026 State of the Software Supply Chain; dati Cloudflare tramite BleepingComputer (31,4 Tbps) e SiliconANGLE (primo semestre 2026); Elie Bursztein, Inside Mirai.
Progressi della difesa. Google, Rust in Android (novembre 2025); HTTPS nel 2016 tramite Threatpost; ENISA, Threat Landscape 2025.
PHP2Shell, 20–23 ottobre 2026. Avviso CERT-EU 2026-018; raccomandazioni di FBI e NSA tramite l'American Hospital Association; ABC News (dichiarazioni di CISA, FBI, NCSC e OpenAI); Reuters tramite The Daily Record; Washington Post tramite ADN; Rijksoverheid (governo olandese); Dutch IT Channel; Welingelichte Kringen (ANP); LBC (NCSC britannico); Jiji Press (Takaichi); post dell'ufficio nazionale giapponese per la cybersicurezza; Help Net Security (Amazon MadPot); W3Techs.
Altri eventi di ottobre. GitLab tramite Help Net Security e SecurityOnline; Datadog Security Labs su LiteLLM; comunicato di sicurezza di Railway; The Hacker News sui nodi Tor; CSO Online e BleepingComputer su eMudhra; BleepingComputer su IDC Frontier; sull'«emergenza» giapponese: The Next Web (che cita FT e AP) e Jiji Press.

Ricerca e pagina realizzate con l'aiuto di Claude (Anthropic), sulla base delle fonti pubbliche indicate sopra. Le correzioni sono benvenute.

Library · Date · 25 octombrie 2026

Se accelerează? Zece ani de securitate cibernetică, măsurați

O săptămână din octombrie 2026 a dat impresia că internetul se destramă. Datele din 2016 până în 2026 spun ceva mai precis: unele curbe se îndoaie în sus, altele sunt plate, iar câteva se îmbunătățesc. Pericolul stă în decalajul dintre ele.

Circa 12 minute de lectură11 serii de dateO sursă pentru fiecare cifră

Grafic, 2016–2026: vulnerabilitățile publicate anual au crescut de la 6.449 la peste 67.000 până în septembrie 2026; zero-day-urile exploatate înainte de remediere au rămas între 78 și 100 pe an în 2023–2025; timpul median în care intrușii rămân ascunși a scăzut de la 99 de zile în 2016 la 14 în 2025; ponderea vulnerabilităților exploatate remediate complet a scăzut de la 38% în 2024 la 26% în 2025. — Patru curbe, fiecare scalată la propriul maxim. Punctul pentru 2026 acoperă doar perioada ianuarie – mijlocul lui septembrie.

Săptămâna care a pornit întrebarea

La sfârșitul lui octombrie a circulat mult o postare care înșira, într-un singur paragraf fără pauză, tot ce mersese prost în doar câteva zile. Cineva a distribuit-o pe Facebook cu o întrebare simplă: aveți și voi senzația că lucrurile se accelerează? Înainte de a răspunde, merită verificat paragraful în sine, pentru că în mare parte se confirmă.

Pe 21 octombrie 2026, PHP, limbajul de pe server folosit de aproximativ 70% dintre site-urile web a căror tehnologie e cunoscută, a publicat corecturi de urgență pentru două vulnerabilități cunoscute acum ca PHP2Shell (CVE-2026-109618 și CVE-2026-109619). Ambele permit unui atacator neautentificat să ruleze cod pe un server web. Detaliile s-au scurs înainte ca remedierea să fie gata, așa că FBI și NSA, NCSC-ul britanic și biroul național japonez pentru securitate cibernetică i-au sfătuit pe cei care nu puteau actualiza imediat să-și scoată sistemele offline; CERT-EU a recomandat izolarea lor de rețelele publice. Potrivit datelor Censys citate de Reuters, aproximativ 1,5 milioane din 2,6 milioane de servere rulau o versiune de PHP pentru care nu există remediere. Au fost oprite preventiv site-uri guvernamentale din Țările de Jos, Finlanda și Franța — în Țările de Jos inclusiv Overheid.nl, MijnOverheid și DigiD — la fel și site-ul agenției olandeze de securitate cibernetică, cel al Portului Rotterdam, unele sisteme Wikipedia și, pentru scurt timp, Internet Archive. Potrivit presei olandeze, și agenția națională de presă ANP a oprit preventiv unele sisteme. În aceeași seară, prim-ministra Japoniei, Sanae Takaichi, a publicat pe X un apel urgent către administratorii de site-uri.

Restul listei este și el documentat: a doua vulnerabilitate de execuție de cod la distanță cu gravitate maximă (CVSS 10) în zece zile pentru GitLab; o versiune compromisă a LiteLLM, o poartă de acces pentru IA foarte folosită, care timp de aproximativ două ore a distribuit un program de furt de date de autentificare și un troian de acces la distanță — a doua compromitere din acest an; Railway, care a oprit toate publicările după ce intrușii ajunseseră la secretele salvate de clienți; o alertă comună a SUA, Germaniei și Regatului Unit potrivit căreia grupul de ransomware SafePay a lovit din 2024 cel puțin 600 de organizații din infrastructura critică; peste 300 de noduri de ieșire Tor deturnate pentru a intercepta conexiunile SSH; și eMudhra, autoritate de certificare din India, ale cărei chei private intermediare s-au dovedit a fi numere minuscule — una era literalmente 4 — astfel încât Google, Mozilla, Apple și Microsoft au blocat opt certificate.

Trei detalii din versiunea virală trebuie corectate. Scorul oficial de gravitate al PHP este 9,2 din 10, nu 10. „Starea de urgență în spațiul cibernetic” a Japoniei este o expresie folosită pe 9 octombrie de Masaaki Taira, șeful structurii pentru securitate cibernetică a partidului de guvernământ, într-o ședință de partid după atacurile asupra a peste 20 de mari companii; guvernul nu a declarat nicio urgență. Iar postarea prim-ministrei a apărut miercuri seara, înainte de publicarea remedierii la ora 23 la Tokyo, nu în zori. Evenimentele de fond sunt reale.

Așadar, întrebarea e îndreptățită. Dar o săptămână grea este un punct, nu o curbă. Ca să vedem dacă lucrurile se accelerează, avem nevoie de curbe.

Cum citim curbele

Nu există un singur număr pentru „securitate cibernetică”. Există serii de date pe termen lung, fiecare măsurând altceva și fiecare cu propriile puncte oarbe. Le-am folosit pe cele publice, stabile metodologic și publicate de cei care colectează datele: programul CVE (vulnerabilități făcute publice), Internet Crime Complaint Center al FBI (pierderi raportate), M-Trends de la Mandiant (cât timp rămân ascunși intrușii și cât de repede sunt exploatate vulnerabilitățile), analizele Google despre zero-day, catalogul CISA al vulnerabilităților exploatate, Chainalysis și Coveware (ransomware), IBM/Ponemon (costul breșelor), DBIR-ul Verizon (cum încep breșele) și ENISA (Europa).

Două avertismente sunt valabile peste tot. Primul: multe dintre aceste serii măsoară detectarea și raportarea la fel de mult ca atacurile. Mai multe organizații autorizate să atribuie numere înseamnă mai multe CVE; mai multă conștientizare înseamnă mai multe plângeri la FBI. Al doilea: „a accelera” are un sens precis. Ceva care crește cu 30% pe an crește exponențial și pare de neoprit, dar nu accelerează; ca să accelereze, trebuie să crească însăși rata de creștere. Distincția se dovedește importantă.

CVE publicatePierderi raportate din criminalitate informatică (FBI IC3)Timp median de staționare (Mandiant)

Divergența într-o singură imagine. Fiecare serie este indexată la 2016 = 1, pe scară logaritmică. Vulnerabilitățile făcute publice au crescut de 7,5 ori și pierderile raportate de 14 ori, în timp ce timpul în care intrușii rămân ascunși a scăzut la aproximativ o șeptime. Surse: date CVE.org prelucrate de Jerry Gamblin; rapoartele anuale FBI IC3; Mandiant M-Trends 2017–2026.

Ce se accelerează cu adevărat

1. Volumul vulnerabilităților cunoscute

În 2016, programul CVE a publicat aproximativ 6.450 de vulnerabilități. În 2025 a publicat 48.185, un record și cu 20,6% mai mult decât anul anterior. Saltul inițial din 2017 este în mare parte contabil — programul extinsese numărul organizațiilor autorizate să atribuie CVE — dar merită urmărită rata de creștere de după: aproximativ 8% pe an între 2017 și 2021, aproximativ 24% pe an între 2021 și 2025. Iar 2026 este de altă categorie. În iunie, FIRST — forumul mondial al echipelor de răspuns la incidente — și-a ridicat prognoza pentru acest an la aproximativ 66.000; potrivit CISA, până pe 18 septembrie fuseseră deja publicate peste 67.000.

CVE publicate în fiecare an. 2026 (hașurat) este până pe 18 septembrie, potrivit CISA. Baza de numărare: înregistrări CVE după data publicării; între surse există mici diferențe (circa 1%). Surse: Jerry Gamblin, 2024 și 2025 CVE Data Review (2023–2025); prelucrări CVE Details și vulnerabilitydata.io ale datelor CVE.org (2016–2022); CISA, prin Cloud Security Alliance (2026).

Și în explozia din 2026 există o parte contabilă — FIRST notează că VulnCheck, în calitate de „autoritate de numerotare de ultimă instanță”, a emis cu 3.119% mai multe CVE decât cu un an înainte, iar avertismentele GitHub au crescut cu 449% — dar o parte importantă vine dintr-o forță nouă: inteligența artificială. În aprilie 2026, Anthropic a lansat Project Glasswing în jurul unui model nepublic, Claude Mythos Preview; până pe 22 mai, Anthropic și cei aproximativ 50 de parteneri ai săi găsiseră peste 10.000 de vulnerabilități de gravitate ridicată sau critică. Epoch AI a constatat că, în iunie 2026, marile organizații au făcut publice de peste trei ori și jumătate mai multe CVE de gravitate ridicată și critică decât în luna-record anterioară. PHP2Shell însăși a fost găsită de cercetători ai firmelor de securitate Calif și Wiz cu ajutorul unor modele de IA, în coordonare cu OpenAI și echipa PHP. În aprilie, NIST a anunțat că baza sa de date națională de vulnerabilități (NVD) nu va mai încerca să analizeze fiecare CVE, invocând o creștere de 263% a raportărilor între 2020 și 2025. Această curbă nu doar urcă, ci devine tot mai abruptă. Este accelerare în sensul strict al cuvântului.

2. Viteza de la dezvăluire la atac

Mandiant măsoară „timpul până la exploatare” mediu, adică cât trece de la momentul în care o vulnerabilitate devine cunoscută până când atacatorii încep să o folosească. Era de 63 de zile în 2018–19, 44 în 2020–21, 32 în 2021–22 și doar 5 în 2023. M-Trends 2026 estimează media sub zero, la aproximativ minus șapte zile: în medie, exploatarea începe acum înainte să existe o remediere. VulnCheck a constatat că 28,9% dintre vulnerabilitățile înregistrate ca exploatate în 2025 au fost atacate în ziua publicării sau înainte. PHP2Shell confirmă: capcanele (honeypot) Amazon au înregistrat o tentativă de exploatare pe 17 octombrie, cu patru zile înainte de dezvăluirea publică.

Zile, în medie, între dezvăluire și prima exploatare. Mandiant și-a ajustat ușor metoda de la o perioadă la alta; direcția este fără echivoc. M-Trends 2026 estimează media la aproximativ −7 zile (nereprezentat). Surse: Mandiant / Google Cloud, Time-to-Exploit Trends 2023; M-Trends 2026, după Cloud Security Alliance.

Între timp, apărătorii actualizează mai lent decât exploatează atacatorii. DBIR 2026 al Verizon a constatat că organizațiile remediaseră complet doar 26% dintre vulnerabilitățile din catalogul CISA al celor exploatate, față de 38% cu un an înainte, iar timpul median de remediere a urcat la 43 de zile. Pentru prima dată în istoria raportului, exploatarea unei vulnerabilități a depășit datele de autentificare furate drept cel mai frecvent mod în care încep breșele (31%, față de 20%).

3. Dependența de alții

Curba cea mai subestimată este interdependența. În DBIR 2024, terțe părți erau implicate în 15% dintre breșe; în 2025, în 30%; în 2026, în 48%. Sonatype a numărat peste 454.600 de noi pachete open source rău-intenționate doar în 2025, ducând totalul cumulat la peste 1,2 milioane. Octombrie 2026 abundă în exemple în care o singură defecțiune devine multe: ransomware-ul de la un singur furnizor japonez de cloud, IDC Frontier, a afectat 495 de companii și administrații locale care îi foloseau serviciul; vulnerabilitatea unui singur limbaj de programare a făcut guverne din toată Europa să-și oprească site-urile; ceremonia defectuoasă de generare a cheilor a unei singure autorități de certificare i-a obligat pe toți marii producători de browsere să intervină.

De aceea săptămâna din octombrie a părut o accelerare. Când o mare parte a webului se sprijină pe aceleași câteva componente, o singură vulnerabilitate produce un eveniment sincronizat: toată lumea actualizează sau oprește totul în aceeași după-amiază.

4. Amploarea

Cele mai mari atacuri DDoS au crescut de la aproximativ 1 terabit pe secundă (botnetul Mirai împotriva OVH și Dyn în 2016) la 31,4 Tbps, un atac blocat de Cloudflare la sfârșitul lui 2025 și făcut public în februarie 2026 — o creștere de circa treizeci de ori. Doar în al doilea trimestru din 2026, Cloudflare a blocat 805 atacuri de peste 1 Tbps, de șase ori mai multe decât în trimestrul anterior.

Ce crește repede, dar constant

Pierderile raportate la FBI au crescut de la 1,45 miliarde de dolari în 2016 la 20,9 miliarde în 2025, când au depășit pentru prima dată un milion de plângeri. Este o creștere de 14 ori, de aproximativ 34% pe an. Dar ritmul este remarcabil de constant: circa 37% pe an între 2016 și 2021, circa 32% pe an între 2021 și 2025. Este o exponențială rapidă, alimentată mai ales de fraude — escrocherii cu investiții (8,6 miliarde de dolari) și compromiterea e-mailului de afaceri (3,0 miliarde) — mai mult decât de atacuri tehnice. Exponențial, da; accelerat, nu.

Pierderi raportate la IC3 al FBI, miliarde de dolari. Date centrate pe SUA și dependente de decizia victimelor de a raporta; trebuie citite ca un minim. Raportul din 2016 indica „peste 1,3 miliarde de dolari”; tabelele pe cinci ani publicate ulterior de IC3 dau pentru 2016 circa 1,45–1,5 miliarde, cifra folosită aici. Sursă: FBI IC3, Internet Crime Report 2016–2025.

Costul unei singure breșe într-o companie a crescut mult mai lent. Media globală IBM a urcat de la 3,62 milioane de dolari în 2017 la 4,88 milioane în 2024, a scăzut la 4,44 milioane în 2025 — prima scădere în cinci ani, pusă pe seama detectării mai rapide — apoi a urcat la recordul de 4,99 milioane în 2026, IBM raportând o creștere de 56% a atacurilor conduse de IA, care adaugă aproximativ 1 milion de dolari la costul unei breșe. Circa 3–4% pe an de-a lungul deceniului, cu un salt recent.

Costul mediu global al unei breșe de date, milioane de dolari, după anul raportului. Sursă: IBM / Ponemon Institute, Cost of a Data Breach 2017–2026.

Ce rămâne plat

Iată partea care rareori ajunge în titluri. Numărul de zero-day — vulnerabilități exploatate înainte să existe o remediere — detectate anual de grupul de analiză a amenințărilor de la Google a rămas patru ani într-un interval între 60 și 100: 100 în 2023, 78 în 2024, 90 în 2025. Catalogul CISA al vulnerabilităților despre care se știe că sunt exploatate a adăugat 187 de intrări în 2023, circa 185 în 2024 și 245 în 2025 — în creștere, dar nimic comparabil cu curba CVE. VulnCheck a constatat că, din 1.061 de descoperiri atribuite public IA în prima jumătate a lui 2026, 14 (1,3%) erau exploatate — cam aceeași proporție ca la vulnerabilități în general.

Prognozele FIRST ajung la aceeași concluzie: dacă filtrezi valul de noi CVE și le păstrezi doar pe cele pe care atacatorii chiar le folosesc sau probabil le vor folosi, volumul care cere intervenție a rămas în mare parte plat. Jerry Gamblin, unul dintre autorii prognozei, l-a descris ca pe o ploaie care nu se oprește: sarcina nu mai e să numeri picăturile, ci să afli care vor face digul să cedeze. Veniturile din ransomware spun o poveste asemănătoare. Plățile în criptomonede urmărite de Chainalysis au sărit în 2020 și de atunci oscilează între aproximativ 0,6 și 1,25 miliarde de dolari pe an: 983 de milioane în 2021, un record în 2023 (1,1 miliarde în prima estimare, revizuit ulterior la circa 1,25 miliarde), 892 de milioane în 2024, 820 de milioane în 2025 — chiar dacă atacurile revendicate în 2025 au crescut cu circa 50%.

Răscumpărări ransomware plătite în criptomonede, milioane de dolari. 2019–2023 după prima estimare din raportul Chainalysis 2024 (2023 a fost revizuit ulterior la circa 1,25 miliarde); 2024–2025 din raportul 2026. Chainalysis revizuiește în sus anii anteriori pe măsură ce atribuie alte plăți, deci anii recenți probabil vor crește. Sursă: Chainalysis, Crypto Crime Report.

Ce se îmbunătățește

Apărătorii au obținut victorii reale, și nu mici.

Detectarea. Timpul median global de staționare măsurat de Mandiant — cât rămâne un intrus într-o rețea înainte de a fi descoperit — era de 99 de zile în 2016 și de 10 în 2023. A urcat din nou la 14 zile în 2025, din cauza unor campanii lungi de spionaj și a schemelor nord-coreene cu falși angajați IT, deci îmbunătățirea s-a oprit. Dar acum zece ani un atacator avea trei luni; acum are două săptămâni. O parte din scădere reflectă ransomware-ul, care se anunță singur; o parte se datorează unor instrumente mai bune.

Timp median global de staționare, zile. Sursă: Mandiant M-Trends 2017–2026 (perioadele de referință variază ușor).

Refuzul de a plăti. La începutul lui 2019 plăteau 85% dintre victimele de ransomware urmărite de Coveware. În al treilea trimestru din 2025 au plătit 23%, cel mai scăzut nivel înregistrat vreodată de Coveware. Chainalysis estimează pentru 2025 o rată de plată de 28%, un minim istoric. Infractorii atacă mai mult și câștigă mai puțin pe atac.

Cod mai sigur. În 2019, 76% dintre vulnerabilitățile Android erau erori de siguranță a memoriei, categoria din spatele multora dintre cele mai grave atacuri. În 2025, după ce Google a scris codul nou în limbaje sigure pentru memorie precum Rust, proporția a scăzut pentru prima dată sub 20%. Zero-day-urile în browsere, cândva instrumentul preferat al atacatorilor sofisticați, au ajuns la minime istorice în analiza Google pe 2025. Iar criptarea a devenit norma: la sfârșitul lui 2016, Google raporta pentru prima dată că puțin peste jumătate dintre paginile încărcate în Chrome pe desktop foloseau HTTPS.

Instituțiile. În 2016, CISA nu exista; a fost înființată în 2018. Directiva europeană NIS2, regulamentul DORA pentru sectorul financiar și agențiile naționale de securitate cibernetică emit acum alerte coordonate în câteva ore, cum a arătat octombrie. ENISA, analizând 4.875 de incidente din Europa între mijlocul lui 2024 și mijlocul lui 2025, a constatat că aproape 80% erau opera hacktiviștilor, mai ales prin campanii DDoS, și că doar 2% dintre incidentele hacktiviste au întrerupt efectiv un serviciu: mult zgomot, dar în mare parte impact redus. A indicat ransomware-ul drept amenințarea cu cel mai mare impact.

Deci: se accelerează?

Indicator	Atunci	Acum	Tendință
CVE publicate anual	6.449 (2016)	48.185 (2025); peste 67.000 la mijlocul lui septembrie 2026	În accelerare
Timp de la dezvăluire la exploatare (Mandiant)	63 de zile (2018–19)	5 zile (2023); estimat −7 zile (M-Trends 2026)	În accelerare
Ponderea breșelor cu terțe părți (Verizon)	15% (DBIR 2024)	48% (DBIR 2026)	În accelerare
Cel mai mare DDoS	~1 Tbps (2016)	31,4 Tbps (sfârșitul lui 2025)	În creștere rapidă
Pierderi raportate la IC3 al FBI	1,45 mld. $ (2016)	20,9 mld. $ (2025)	Exponențial constant (~30% pe an)
Costul mediu al unei breșe (IBM)	3,62 mil. $ (2017)	4,99 mil. $ (2026)	Creștere lentă, salt recent
Zero-day exploatate (Google)	100 (2023)	90 (2025)	Interval plat, 60–100
Adăugări în catalogul CISA al vulnerabilităților exploatate	187 (2023)	245 (2025)	Aproximativ plat
Plăți ransomware (Chainalysis)	905 mil. $ (2020)	820 mil. $ (2025, provizoriu)	Interval plat
Timp median de staționare (Mandiant)	99 de zile (2016)	14 zile (2025)	Îmbunătățit, acum stagnant
Victime care plătesc răscumpărarea (Coveware)	85% (T1 2019)	23% (T3 2025)	Îmbunătățit
Erori de siguranță a memoriei în Android	76% (2019)	<20% (2025)	Îmbunătățit

Răspunsul onest este: da, dar nu în felul în care sugerează postarea virală. Numărul atacurilor reușite nu explodează; nucleul a ceea ce atacatorii exploatează efectiv a rămas surprinzător de stabil, iar apărătorii au redus măsurabil timpul de detectare, au tăiat veniturile din răscumpărări și au eliminat categorii întregi de erori.

Ce se accelerează cu adevărat sunt trei lucruri care se întăresc reciproc:

Descoperirea. Vulnerabilitățile sunt găsite mai repede ca oricând, tot mai des cu ajutorul IA. Actualizarea Anthropic despre Glasswing din mai 2026 arăta că, din circa 530 de erori de gravitate ridicată sau critică raportate întreținătorilor open source, 75 fuseseră remediate; unii întreținători ceruseră încetinirea ritmului ca să poată ține pasul.
Viteza de exploatare. Intervalul mediu dintre dezvăluire și atac s-a prăbușit de la două luni la câteva zile și, potrivit celei mai recente estimări Mandiant, a devenit negativ.
Concentrarea. O parte tot mai mare a lumii depinde de tot mai puține componente, platforme și furnizori comuni, așa că o singură vulnerabilitate devine un eveniment simultan și global.

În fața acestora stau o curbă a apărării care se îmbunătățește cam liniar și o capacitate de reparare — întreținători voluntari, echipe IT suprasolicitate, cicluri de actualizare măsurate în săptămâni — care abia s-a schimbat. Decalajul dintre viteza cu care sunt găsite vulnerabilitățile și viteza cu care pot fi remediate este adevărata curbă de urmărit. În 2016, acest decalaj se măsura în luni. În octombrie 2026, guvernele le-au cerut administratorilor de site-uri să oprească totul pentru o după-amiază, pentru că nu mai rămăsese nicio marjă.

Dacă instrumente la fel de capabile ca cele care au găsit PHP2Shell devin liber accesibile atacatorilor — iar Washington Post, scriind despre PHP2Shell, nota că în ultima lună modele aproape la fel de capabile deveniseră descărcabile gratuit — liniile plate din această analiză sunt cele mai susceptibile să se îndoaie. Acesta e indicatorul de urmărit în 2027: nu numărul de CVE, ci dacă zero-day-urile exploatate și catalogul CISA ies din intervalul lor.

Ce urmărim în continuare

Analiza Google despre zero-day-urile din 2026 (începutul lui 2027): va depăși numărul pragul de 100?
Adăugările în catalogul KEV al CISA în 2026, față de 245 în 2025 (la jumătatea anului, FIRST prognoza un ritm de circa 290–300).
M-Trends 2027 de la Mandiant: timpul de staționare și timpul până la exploatare.
Ratele de remediere: ponderea vulnerabilităților exploatate efectiv remediate, după Verizon (26% în 2025).
Dacă remedierea asistată de IA poate ține pasul cu descoperirea asistată de IA — singura tendință care poate închide decalajul.

Surse

Sunt citați mai întâi editorii primari; unde o pagină primară nu a putut fi accesată, este indicată publicația de încredere care a relatat-o.

Numărul de vulnerabilități. Jerry Gamblin, 2025 CVE Data Review și 2024 CVE Data Review; numărători anuale pe baza CVE.org prin CVE Details și vulnerabilitydata.io; FIRST, 2026 Vulnerability Forecast Update și SecurityBrief despre prognoză; numărătoarea CISA pentru 2026 prin Cloud Security Alliance (septembrie 2026); NIST, anunțul privind prioritățile NVD (aprilie 2026).
Descoperiri asistate de IA. Anthropic, Project Glasswing: An initial update (22 mai 2026) și CSO Online despre actualizare; Epoch AI, CVE severity spike; VulnCheck, State of Exploitation 1H 2026.
Viteza de exploatare și timpul de staționare. Mandiant/Google Cloud, Time-to-Exploit Trends 2023; M-Trends 2021, 2024 și 2026; estimarea de −7 zile, după Cloud Security Alliance.
Zero-day și vulnerabilități exploatate. Google Threat Intelligence Group, 2025 Zero-Days in Review; adăugările anuale în KEV-ul CISA după Cyble și SecurityWeek.
Cum încep breșele. Verizon DBIR 2026, după SecurityWeek și TechRepublic.
Pierderi din criminalitate informatică. Rapoartele anuale FBI IC3: 2016, 2024, 2025 și tabelele pe cinci ani din rapoartele intermediare.
Costul breșelor. IBM/Ponemon, Cost of a Data Breach 2024, rezultatele din 2026; valorile 2017–2023 și 2025 după IBM și Infosecurity Magazine.
Ransomware. Chainalysis, Crypto Crime Report 2024 și 2026, prin TechTarget și BleepingComputer; rapoartele trimestriale Coveware prin Security Affairs și HIPAA Journal; CISA/FBI, alerta #StopRansomware despre SafePay.
Lanțul de aprovizionare și DDoS. Sonatype, 2026 State of the Software Supply Chain; date Cloudflare prin BleepingComputer (31,4 Tbps) și SiliconANGLE (T2 2026); Elie Bursztein, Inside Mirai.
Progresele apărării. Google, Rust in Android (noiembrie 2025); HTTPS în 2016 prin Threatpost; ENISA, Threat Landscape 2025.
PHP2Shell, 20–23 octombrie 2026. Avertismentul CERT-EU 2026-018; recomandările FBI și NSA prin American Hospital Association; ABC News (declarații CISA, FBI, NCSC și OpenAI); Reuters prin The Daily Record; Washington Post prin ADN; Rijksoverheid (guvernul olandez); Dutch IT Channel; Welingelichte Kringen (ANP); LBC (NCSC britanic); Jiji Press (Takaichi); postarea biroului național japonez pentru securitate cibernetică; Help Net Security (Amazon MadPot); W3Techs.
Alte evenimente din octombrie. GitLab prin Help Net Security și SecurityOnline; Datadog Security Labs despre LiteLLM; comunicatul de securitate Railway; The Hacker News despre nodurile Tor; CSO Online și BleepingComputer despre eMudhra; BleepingComputer despre IDC Frontier; despre „urgența” japoneză: The Next Web (care citează FT și AP) și Jiji Press.

Cercetare și pagină realizate cu ajutorul Claude (Anthropic), pe baza surselor publice de mai sus. Corecturile sunt binevenite.