Blanchard beschreibt ein Schwachstellenmanagement, das schon vor Mythos unter Druck stand. Im Jahr 2025 wurden demnach 48.185 CVEs veröffentlicht, ein Plus von 22 Prozent gegenüber 2024. Für 2026 werden 66.000 neue CVEs prognostiziert. In vielen Unternehmen landen diese Schwachstellen im selben Behebungsprozess, geprägt von manuellen Freigaben, zersplitterten Verantwortlichkeiten und Änderungsfenstern, die sich eher am Takt klassischer Unternehmens-IT als an dem von Angreifern orientieren.
Als Bezugsrahmen nennt der Autor Gartners CTEM-Modell mit den fünf Phasen Scoping, Discovery, Prioritization, Validation und Mobilization. Die ersten drei Schritte liefen inzwischen mit Maschinengeschwindigkeit. Auch die Validierung habe sich verbessert, weil Plattformen automatisierte Tests von Angriffspfaden ermöglichen. Die Mobilisierung hingegen bleibe an organisatorische Abläufe gebunden.
Auf diese Lücke weisen laut Blanchard auch politische Vorgaben hin. Er nennt insbesondere CISA und deren BOD 26-04, die Bundesbehörden von einer primär an CVSS orientierten Patch-Priorisierung hin zu Ausnutzbarkeit und Asset-Kontext verschiebt. Das entspreche dem, was CTEM schon länger fordere. Die Richtlinie beantworte jedoch nur die Frage, welche Schwachstellen zuerst behoben werden sollen, nicht aber, wie schnell Organisationen die Behebung tatsächlich umsetzen können.
Genau darin sieht Blanchard das Kernproblem: Zwischen der Erkenntnis, welche Schwachstelle gefährlich ist, und ihrer tatsächlichen Behebung steht meist ein anderes Team mit eigenen Prioritäten, eigenen Change-Fenstern und eigenen Freigabeketten. Diese Übergabe sei die verwundbare Stelle vieler CTEM-Programme. Prozesse für Enterprise-Remediation seien für einen von Menschen getriebenen Ablauf gebaut worden, während die vorgelagerten Phasen längst nicht mehr in diesem Tempo arbeiten.
Zur Untermauerung verweist der Beitrag auf aktuelle Forschung: Hohe und kritische Anwendungsschwachstellen benötigen im Durchschnitt 55 Tage bis zur Behebung, und fast die Hälfte der Unternehmensschwachstellen bleibt selbst nach einem vollen Jahr ungepatcht. Hinzu kommt, dass viele Organisationen die Behebung weiterhin nicht nach Ausnutzbarkeit und Geschäftsauswirkung priorisieren. Altsysteme, OT-Umgebungen und Produktionsinfrastruktur würden häufig erst spät angepasst, weil Ausfälle dort selbst erhebliche geschäftliche Folgen haben können. Außerdem gebe es Identitätsrisiken wie übermäßige Berechtigungen oder zwischengespeicherte Zugangsdaten, für die sich gar kein Patch einspielen lasse. Viele Befunde landeten daher in Warteschlangen, ohne dass ein einzelnes Team klar für ihre Beseitigung verantwortlich sei.
Blanchard stellt dem die Arbeitsweise von SOC-Teams gegenüber. Diese messen traditionell Kennzahlen wie Verweildauer, mittlere Reaktionszeit und Eindämmungsgeschwindigkeit. Proaktive Teams aus Vulnerability Management, Cloud-Sicherheit oder Netzwerksicherheit arbeiten dagegen oft mit Werten wie Patch-Abdeckung nach Schweregrad oder Zeit bis zur Korrektur von Fehlkonfigurationen. Nach Ansicht des Autors zwingt KI-getriebene Entdeckung beide Seiten nun auf dieselbe Stoppuhr.
Wenn sich Schwachstellen binnen Stunden von der Offenlegung zur Operationalisierung bewegen und Ausbruchszeiten in Minuten gemessen werden, verliere eine vierteljährliche Patch-Quote von 90 Prozent an Aussagekraft, wenn kritische Assets wochenlang ausnutzbar in der Warteschlange stehen. Proaktive Teams bräuchten daher dieselben geschwindigkeitsbasierten Kennzahlen, die SOCs seit Jahren verwenden.
Vollständig schließen lasse sich das Expositionsfenster laut Blanchard ohnehin nicht. Deshalb rücke die Frage in den Vordergrund, welche kritischen Assets über vorhandene Lücken tatsächlich erreichbar sind. Dieses erreichbare Set, also der Wirkungsradius, bestimme das reale Geschäftsrisiko. Als Beleg verweist er auf den Verizon DBIR 2026, der für Angriffspfad-Analysen argumentiert, um diesen Wirkungsradius sichtbar zu machen. Solche Analysen zeigten, welche Expositionen tatsächlich Wege zu kritischen Assets eröffnen und welche in Sackgassen enden. Damit werde aus einem unabschließbaren Rückstau eine endliche Menge relevanter Pfade, und die Geschwindigkeit der Behebung werde zu einer Kennzahl für Geschäftsrisiko.