Falhas de segurança: ataques ocorrem antes de divulgação e exigem nova mentalidade

A exploração de vulnerabilidades de segurança por criminosos está ocorrendo em um ritmo alarmante, muitas vezes antes mesmo de as falhas serem divulgadas publicamente. Um relatório da Mandiant, empresa de cibersegurança do Google Cloud, aponta que o intervalo médio entre a divulgação de falhas em dispositivos de borda (como firewalls e roteadores) e sua exploração foi de menos sete dias em 2025. Isso significa que, em muitos casos, os primeiros sinais de ataque foram observados uma semana antes de as falhas serem conhecidas.

O cenário é corroborado por levantamentos da EcoTrust, que indicam que em outubro de 2026, 61% das vulnerabilidades com exploração registrada nos 90 dias anteriores eram classificadas como zero-days, ou seja, exploradas antes da divulgação pública. Essa realidade exige uma mudança de paradigma nas empresas.

Nova mentalidade: assumir o comprometimento

Cristine Hoepers, gerente-geral do CERT.br, enfatiza que as empresas precisam considerar a possibilidade de seus sistemas já terem sido invadidos quando recebem um alerta de segurança. A mentalidade deve ser de "assumir que podem já estar comprometidas" e criar processos para lidar com essa realidade.

Uma vulnerabilidade é uma falha que permite ações não autorizadas. Mesmo após a aplicação de um patch (atualização de segurança) para corrigir a falha original, um invasor que explorou o problema anteriormente pode ter deixado acessos ocultos, instalado malware ou roubado credenciais. Portanto, fechar a brecha inicial não garante a eliminação do acesso já obtido.

A especialista recomenda que as organizações realizem investigações forenses para identificar sinais de invasão em sistemas críticos afetados por vulnerabilidades exploradas. Caso um comprometimento seja confirmado, é essencial seguir políticas de tratamento de incidentes, que podem incluir a reinstalação ou limpeza de sistemas antes da aplicação das correções.

Priorizando a correção: além da gravidade técnica

A decisão sobre quais falhas corrigir primeiro é complexa, especialmente em ambientes com milhares de aplicações e equipamentos. O sistema de pontuação CVSS (Common Vulnerability Scoring System) avalia a gravidade técnica de uma falha, mas não deve ser o único critério.

Vinicius Durbano, CEO da EcoTrust, explica que a prioridade deve considerar se a falha já está sendo explorada por criminosos, a exposição do sistema e as consequências de um ataque. Uma vulnerabilidade de gravidade média, mas já em uso por atacantes em um servidor essencial e exposto, pode ser mais urgente do que uma falha crítica em um sistema isolado e sem sinais de exploração.

Ferramentas como o catálogo KEV (Known Exploited Vulnerabilities) da CISA e o EPSS (Exploit Prediction Scoring System) do FIRST auxiliam na avaliação do risco real. O método SSVC (Stakeholder-Specific Vulnerability Categorization) também ajuda a organizar a tomada de decisão, integrando a exploração conhecida e o impacto no negócio.

Desafios persistentes e o papel da IA

Além das falhas recém-exploradas, problemas de segurança conhecidos há anos continuam sendo explorados. Análises indicam um aumento na média mensal de vulnerabilidades com exploração observada, tanto as novas quanto as antigas. A gestão de vulnerabilidades precisa ser um processo contínuo, priorizando o que está sendo ativamente atacado.

A identificação de quais componentes de software estão presentes nos sistemas é outro obstáculo. O uso de Software Bill of Materials (SBOM), que lista os ingredientes de um software, pode ajudar a mapear dependências e identificar produtos afetados por vulnerabilidades, como no caso da falha Log4Shell.

A inteligência artificial (IA) adiciona mais pressão. Ferramentas de IA podem automatizar e escalar ataques conhecidos, aumentando o volume de tentativas e a quantidade de dados que os analistas de segurança precisam processar. A automação pode gerar ruído, dificultando a identificação de ameaças reais.

Em suma, a segurança cibernética exige uma abordagem proativa e adaptativa, onde a investigação de incidentes e a priorização baseada no risco real de exploração e impacto no negócio se tornam tão ou mais importantes quanto a aplicação de correções técnicas.