Segundo o relatório Vulnerability discovery and exploitation trends in the AI era, publicado pelo Google Threat Intelligence Group em 2026, o número de vulnerabilidades divulgadas por mês dobrou em sete meses, de 5.045 para 10.740. A média mensal de falhas exploradas por atacantes também subiu, de 10,5 para 18 na comparação com o ano anterior, mas continua pequena diante do volume. Das vulnerabilidades divulgadas no período mais recente da série, o Google observou em exploração ativa só 0,23%, cerca de uma em cada 431.
Para uma equipe de gestão de vulnerabilidades, esses números chegam em forma de fila, e o problema está no critério que organiza essa fila. Políticas que definem o prazo de correção pela nota de criticidade da falha, com poucos dias para as críticas e algumas semanas para as altas, funcionam enquanto o volume cabe na capacidade do time.
Quando o número de falhas publicadas dobra e a equipe continua do mesmo tamanho, os prazos passam a ser descumpridos em série, as exceções se acumulam e falhas com ataque em curso esperam na mesma fila que milhares de outras com pouca chance de exploração. Rever a política começa, por isso, por entender quais falhas os atacantes usam e quais ficam abertas por mais tempo.
O que os atacantes exploram
O Data Breach Investigations Report 2025, publicado pela Verizon mostra o peso dos equipamentos expostos à internet: dispositivos de borda e VPNs responderam por 22% dos alvos de exploração de vulnerabilidades analisados, quase oito vezes os 3% da edição anterior, e só cerca de 54% dessas falhas foram totalmente corrigidas ao longo do ano, com mediana de 32 dias. Na edição seguinte, o relatório registra que, nos ataques de ransomware contra pequenas e médias empresas, as vítimas tinham credenciais comprometidas em 38% dos casos e falhas não corrigidas em equipamentos de borda em 29%.
A base de incidentes da Kaspersky aponta na mesma direção, porque nos incidentes que a empresa investigou no mundo a exploração de aplicações expostas na internet foi a porta de entrada em 44% dos casos, à frente do uso de credenciais válidas, com 25%, segundo comunicado da empresa com dados do relatório Anatomia de um Mundo Cibernético. No Data Breach Investigations Report 2026, a exploração de vulnerabilidades passou a ser o vetor de acesso inicial mais frequente entre as violações analisadas, com 31% dos casos, contra 20% na edição anterior.
Mesmo as falhas que já constam de uma lista pública de exploradas demoram a ser fechadas, segundo a análise de dados de varredura de mais de 13 mil organizações reunida no mesmo relatório da Verizon. Nessa base, o número mediano de falhas do catálogo de vulnerabilidades sabidamente exploradas da CISA, agência de cibersegurança dos Estados Unidos, que cada organização precisou corrigir passou de 11 para 16, a parcela totalmente corrigida caiu de 38% para 26% e a mediana até a correção completa chegou a 43 dias.
O relatório associa a demora a esse aumento de volume, e numa fila organizada só pela nota de criticidade essas falhas disputam espaço com milhares de outras de nota parecida e sem nenhum registro de exploração.
Gestão de vulnerabilidades no Brasil e as falhas que já deveriam estar fechadas
No Brasil, a análise semestral de telemetria da ESET, que acompanhou mais de 1.300 famílias de malware, mostra que os exploits responderam por 9,4% de todas as ameaças detectadas no país. Segundo a ESET, quase todo esse volume se concentrou em duas falhas de um pacote de escritório de uso corporativo, a CVE-2017-11882 e a CVE-2017-0199, corrigidas pelo fabricante no mesmo ano em que foram descobertas. Na telemetria da empresa, a segunda saltou de 2,2% para 50,3% das detecções relacionadas à vulnerabilidade de um mês para o outro, o que sugere campanhas em curso apoiadas em uma falha antiga.
Essas duas falhas constam do catálogo de exploradas da CISA, como mostram os registros da base nacional de vulnerabilidades do NIST para a CVE-2017-11882 e a CVE-2017-0199, e uma política orientada por exploração já as trataria como prioridade. A explicação mais provável para que continuem sendo usadas no país é que encontrem máquinas que ficaram fora do ciclo de atualização, como a estação mantida numa versão antiga por causa de um sistema legado, o notebook que nunca entrou no inventário ou o equipamento de uma filial que a varredura não alcança. Nessas situações, o problema está mais na cobertura do inventário do que na regra de prioridade.
Encontrar essas máquinas pede o cruzamento de fontes que nem sempre conversam, como a lista de ativos do inventário, o console do antivírus ou do EDR, os registros do controlador de domínio e os equipamentos que aparecem na rede sem constar de nenhuma das listas. A diferença entre essas fontes indica quais equipamentos a varredura não alcança.
As exceções concedidas no passado pioram esse quadro quando não têm data de revisão. Uma autorização para manter a versão antiga em um grupo de máquinas, concedida porque uma aplicação não funcionava com a nova, continua valendo indefinidamente quando ninguém define prazo de expiração, e a área de risco perde a conta de quantos equipamentos ainda dependem dessa autorização.
Por isso, cada exceção precisa de responsável, controle compensatório documentado, como isolamento de rede ou desativação da funcionalidade afetada, e data de expiração, depois da qual volta para análise em vez de ser renovada automaticamente. A revisão periódica com o dono da aplicação que justificou a exceção mostra quais já perderam o motivo, porque o sistema legado foi atualizado ou desativado sem aviso à equipe de segurança.
Gestão de vulnerabilidades orientada por evidência de exploração
Resolvida a cobertura do inventário, o problema volta ao critério da fila, porque uma fila organizada só pela nota de criticidade funciona como um pronto-socorro que atende pela gravidade anotada na ficha de entrada, sem olhar quem está piorando na sala de espera. A saída é refazer a triagem pelo estado de cada caso, separando primeiro as falhas com exploração confirmada ou provável.
Para montar essa triagem, a empresa conta com instrumentos públicos. O catálogo da CISA lista as falhas com exploração confirmada, e o EPSS, modelo mantido por um grupo de interesse do FIRST, estima a probabilidade de uma vulnerabilidade publicada ser explorada nos 30 dias seguintes. Cruzados com o inventário de ativos expostos à internet e com a importância de cada sistema para o negócio, esses sinais permitem montar faixas de prazo que acompanham o risco de exploração, com a nota de criticidade como um fator entre outros.
Na fila revista, uma falha crítica num sistema interno, sem registro de exploração e com probabilidade baixa no EPSS, vai para o ciclo mensal de atualização, enquanto uma falha de nota alta no concentrador de VPN, incluída na véspera no catálogo da CISA, passa na frente e ganha janela de emergência. Esse tipo de decisão concentra o esforço da equipe nas falhas com ataque em curso ou provável, que no volume atual são uma parcela pequena da fila.
Os equipamentos de borda pedem atenção à parte, pelo peso que têm na exploração e porque podem ficar fora do processo de atualização de estações e servidores. Firewalls, concentradores de VPN e gateways de aplicação dependem de firmware do fabricante e exigem janela de manutenção. Quando são administrados pela equipe de redes, separada da que conduz a gestão de vulnerabilidades, ficam sem dono claro no momento em que uma falha é divulgada, e um responsável nomeado, um inventário de versões e uma janela de emergência para correções fora do calendário reduzem o tempo entre a divulgação e a correção nessa parte da superfície de ataque.
Como a auditoria e o regulador medem a correção
Com a política revista, os indicadores também mudam, porque o percentual de falhas críticas corrigidas no prazo melhora quando a equipe fecha muitas falhas sem exploração e piora sempre que o volume de divulgações cresce, o que torna esse percentual pouco informativo quando acompanhado isoladamente. A auditoria passa a acompanhar, ao lado desse indicador, o tempo entre a inclusão de uma falha no catálogo de exploradas e sua correção nos ativos afetados, a cobertura do inventário de equipamentos de borda, a quantidade de exceções vencidas e a reincidência de falhas antigas nas varreduras.
No setor financeiro, essa evidência já é cobrada pela Resolução CMN nº 5.274, que passou a exigir das instituições autorizadas pelo Banco Central varreduras periódicas para identificar dispositivos indevidamente conectados à rede corporativa, correção tempestiva das vulnerabilidades identificadas e testes de intrusão ao menos uma vez por ano, feitos por terceiro independente, com resultados documentados e plano de ação para as vulnerabilidades encontradas. O plano de ação mostra ao supervisor como a instituição prioriza e corrige, e uma política baseada em evidência de exploração produz um plano mais fácil de sustentar do que uma lista de prazos descumpridos.
Fora do setor financeiro, a referência mais próxima é o artigo 46 da Lei Geral de Proteção de Dados, que exige medidas de segurança aptas a proteger os dados pessoais, e uma política de correção documentada é uma das formas de demonstrar essas medidas quando a autoridade pede evidências.
Mantida a política atual, o número de prazos descumpridos e de exceções abertas tende a crescer junto com o volume de divulgações, e os relatórios de conformidade vão mostrar uma equipe atrasada em uma fila na qual a maior parte das falhas não tem exploração registrada. Com a política revista, a mesma equipe fecha antes as falhas que os atacantes usam, inclusive as antigas que seguem em circulação no país, desde que o inventário alcance as máquinas que hoje ficam fora da varredura.