Una vulnerabilità viene resa pubblica di martedì. La patch ufficiale arriverà tra qualche giorno, oppure è già disponibile ma va provata prima di installarla sui computer che fanno funzionare l’azienda. In mezzo resta una finestra di tempo in cui il sistema è esposto e chi attacca conosce già la strada. Il virtual patching serve a chiudere proprio quella finestra.
In questa guida vediamo cos’è, come funziona, in quali casi è davvero utile, quali sono i suoi limiti e perché non sostituisce gli aggiornamenti ma lavora insieme a loro.
Cos’è il virtual patching
Il virtual patching (in italiano patching virtuale) è una misura di sicurezza che protegge un sistema vulnerabile bloccando i tentativi di sfruttare la falla, senza modificare il software che la contiene. Il difetto resta dov’è, ma diventa irraggiungibile finché non viene installata la correzione definitiva.
Un’immagine aiuta: se la serratura di una porta è difettosa e il fabbro può venire solo la settimana prossima, nel frattempo si mette qualcuno davanti alla porta che riconosce chi prova a forzarla e lo ferma. La serratura è ancora da cambiare, ma intanto nessuno entra.
Come funziona il patching virtuale
Ogni vulnerabilità nota ha un modo specifico per essere sfruttata: una certa richiesta di rete, un certo comportamento di un programma, una certa sequenza di dati. Il virtual patching applica una regola che riconosce quel modo di attacco e lo blocca prima che arrivi al software vulnerabile.
La protezione può lavorare su livelli diversi:
- Sui dispositivi (PC e server): la protezione installata sul computer controlla il traffico e i comportamenti diretti verso programmi e sistema operativo, e blocca quelli che corrispondono a una vulnerabilità conosciuta.
- Sulla rete: sistemi di prevenzione delle intrusioni (IPS) e firewall di nuova generazione esaminano il traffico in transito e fermano i tentativi di exploit prima che raggiungano i computer.
- Sulle applicazioni web: un WAF (Web Application Firewall) protegge siti, portali e servizi esposti su internet filtrando le richieste malevole.
Il vantaggio pratico è che le regole si aggiornano in modo centralizzato e in tempi brevi, senza toccare il codice dei programmi, senza riavvii e senza fermare chi sta lavorando.
Virtual patching e patch management: lavorano insieme
Il patching virtuale non è un’alternativa agli aggiornamenti. È lo strumento che copre il tempo che passa tra la scoperta di una vulnerabilità e la sua correzione vera, e che rende quella correzione meno affannosa. Le due cose hanno ruoli diversi:
| Patch tradizionale | Virtual patching | |
|---|---|---|
| Cosa fa | Corregge il difetto nel software | Blocca i tentativi di sfruttare il difetto |
| Tempi | Dipende dal produttore e dai test necessari | Attivabile in tempi brevi |
| Impatto sul lavoro | Spesso richiede un riavvio | Nessun riavvio, nessuna interruzione |
| Sistemi senza supporto | Non disponibile | Possibile |
| Durata | Definitiva | Temporanea, fino alla correzione |
Per questo una buona strategia li usa entrambi: il virtual patching protegge subito, la gestione del patching e degli aggiornamenti chiude il problema in modo definitivo, con i tempi giusti e senza introdurre aggiornamenti instabili.
Perché oggi conta più di qualche anno fa
Secondo il Rapporto Clusit 2026, che analizza gli incidenti gravi avvenuti nel 2025, gli attacchi basati sullo sfruttamento di vulnerabilità sono cresciuti del 65% rispetto all’anno precedente, con un contributo importante delle vulnerabilità zero-day. Il tempo tra la pubblicazione di una falla e i primi tentativi di sfruttarla si è accorciato, anche grazie a strumenti automatici sempre più diffusi.
Non è un motivo per allarmarsi, ma per organizzarsi: se la finestra di esposizione si restringe, serve uno strumento che protegga nel frattempo, invece di affidarsi solo alla velocità con cui si riescono a installare gli aggiornamenti.
Quando il virtual patching serve davvero: 5 situazioni concrete
1. Una vulnerabilità zero-day
Quando una falla viene sfruttata prima che il produttore abbia rilasciato una correzione, non c’è nessuna patch da installare. Appena il modo di attacco è conosciuto, le regole di virtual patching possono bloccarlo e offrire una difesa in attesa della patch ufficiale.
2. Una patch disponibile che va prima verificata
Installare un aggiornamento appena uscito su tutti i computer aziendali può creare problemi di compatibilità con gestionali e programmi di settore. Con il virtual patching attivo si può aspettare che la patch sia consolidata e installarla con calma, senza restare esposti nel frattempo.
3. Sistemi che non ricevono più aggiornamenti
Molte aziende hanno ancora computer con sistemi operativi fuori supporto, come Windows 10 che da ottobre 2025 non riceve più aggiornamenti gratuiti, oppure macchine collegate a strumenti o software che non funzionano sulle versioni più recenti. Il virtual patching permette di proteggerli mentre si pianifica la sostituzione, senza doverla fare in emergenza.
4. Computer e server che non si possono fermare
Un server che gestisce gli ordini, un PC collegato a una macchina di produzione, il computer della reception di uno studio: per alcune postazioni un riavvio imprevisto significa lavoro fermo. Il patching virtuale non richiede riavvii e permette di rimandare l’aggiornamento al momento meno impattante.
5. Software di terze parti con aggiornamenti lenti
Non tutto il software usato in azienda viene aggiornato con la stessa rapidità di un sistema operativo. Applicazioni verticali, gestionali personalizzati e programmi di fornitori più piccoli possono impiegare settimane per correggere una falla. Il virtual patching copre quel periodo.
I limiti del virtual patching
Uno strumento di sicurezza va conosciuto anche per quello che non fa. Il patching virtuale:
- non corregge il difetto: la vulnerabilità resta nel software e va comunque chiusa con l’aggiornamento;
- protegge dai modi di attacco conosciuti: se qualcuno trova una strada diversa per sfruttare la stessa falla, la regola potrebbe non intercettarla;
- non va usato come scusa per rimandare: il rischio più comune è sentirsi protetti e lasciare i sistemi non aggiornati per mesi.
Per questo funziona bene solo dentro un sistema di sicurezza più ampio, che comprende protezione degli endpoint, gestione degli aggiornamenti, controllo dei privilegi amministrativi e backup affidabili.
Virtual patching e NIS2: la gestione delle vulnerabilità
La direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, inserisce la gestione delle vulnerabilità tra le misure di sicurezza che le aziende coinvolte devono adottare, sotto la supervisione dell’Agenzia per la Cybersicurezza Nazionale (ACN). Anche chi non rientra direttamente nella normativa la incontra sempre più spesso nelle richieste di clienti e partner che ne fanno parte.
Il virtual patching non esaurisce questi obblighi, ma è uno degli strumenti che rendono il processo concreto e dimostrabile: riduce il tempo di esposizione tra la scoperta di una falla e la sua correzione, e lascia traccia di come è stata gestita.
Come gestiamo il virtual patching in EzIT
Per i clienti EzIT il virtual patching fa parte della protezione di base: non è un componente da acquistare a parte né qualcosa da configurare in azienda. Lavora insieme alla protezione degli endpoint, alla gestione degli aggiornamenti e al monitoraggio continuo dei dispositivi, che seguiamo noi per conto del cliente.
In pratica, quando emerge una vulnerabilità che riguarda i sistemi dei nostri clienti, la protezione blocca i tentativi di sfruttarla mentre l’aggiornamento definitivo viene verificato e installato nei tempi corretti, senza interrompere il lavoro delle persone. Tutto questo rientra nel servizio di cybersecurity gestita, che si appoggia anche alle soluzioni di backup e disaster recovery per ripartire rapidamente anche nel caso peggiore.
Se vuoi capire meglio come funziona un servizio di questo tipo, puoi leggere anche cos’è un MSP.
Domande frequenti sul virtual patching
Il virtual patching sostituisce gli aggiornamenti?
No. Protegge il sistema mentre l’aggiornamento non è ancora disponibile o non è ancora stato installato. La correzione definitiva resta l’aggiornamento del software.
Serve anche a una piccola azienda?
Sì, anzi spesso è proprio nelle piccole aziende che fa più differenza: ci sono meno persone dedicate all’IT, gli aggiornamenti vengono installati con ritardo e capita di avere computer datati ancora in uso. Gestito da un fornitore esterno, non richiede competenze interne.
Protegge dagli attacchi zero-day?
Può proteggere dalle vulnerabilità zero-day una volta che il modo di sfruttarle è stato identificato, anche prima che esista una patch ufficiale. Non può invece bloccare un attacco del tutto sconosciuto: per quello servono altri livelli di protezione, come il controllo dei comportamenti anomali sui dispositivi.
Ha senso su computer con Windows 10?
Sì, come protezione temporanea mentre si pianifica l’aggiornamento o la sostituzione delle macchine. Non è una soluzione per continuare a usare per anni un sistema operativo senza supporto.
Rallenta il lavoro o richiede riavvii?
Non richiede riavvii e le regole si aggiornano in modo trasparente per chi usa il computer. È proprio uno dei motivi per cui si usa: proteggere senza interrompere l’operatività.
Vuoi sapere se i computer della tua azienda sono protetti anche nei giorni in cui un aggiornamento non è ancora arrivato? Contattaci: ne parliamo partendo da come lavorate oggi.