Falhas de segurança: Exploração antecipada exige nova mentalidade das empresas

A segurança cibernética enfrenta um novo desafio: vulnerabilidades em sistemas corporativos estão sendo exploradas por criminosos antes mesmo de serem divulgadas publicamente ou de haver correções disponíveis. Essa tendência, evidenciada por relatórios como o M-Trends 2026 da Mandiant, indica que o intervalo médio entre a divulgação de falhas em dispositivos de borda e sua exploração foi de menos de sete dias em 2025. Isso significa que invasores podem ter acesso a sistemas e estabelecer permanência antes que as empresas sequer saibam do problema.

Dispositivos de borda, como firewalls e roteadores, são portas de entrada para redes corporativas e alvos frequentes. Um levantamento da EcoTrust mostrou que, em outubro, 61% das vulnerabilidades com exploração registrada nos 90 dias anteriores foram classificadas como zero-days, ou seja, exploradas antes ou na mesma data de sua divulgação.

Mudança de mentalidade e triagem forense

Diante desse cenário, especialistas como Cristine Hoepers, gerente-geral do CERT.br, recomendam que as empresas mudem sua mentalidade. Em vez de esperar por alertas, devem assumir que seus sistemas podem já estar comprometidos e criar processos para lidar com essa realidade. Quando um alerta de segurança é recebido, é crucial investigar a possibilidade de invasão em sistemas críticos afetados.

A triagem forense, um exame detalhado de registros e atividades, torna-se essencial para identificar se houve uma invasão e quais ações foram realizadas. Se um comprometimento for confirmado, a empresa precisa tratar o incidente, o que pode envolver a reinstalação ou limpeza do sistema antes de aplicar as correções. A diretriz BOD 26-04 da CISA, nos EUA, oferece uma referência para integrar a correção de vulnerabilidades à investigação de incidentes.

Priorização de correções: além da gravidade técnica

A decisão sobre quais falhas corrigir primeiro é complexa, especialmente em ambientes com milhares de aplicações e equipamentos. O Common Vulnerability Scoring System (CVSS) atribui notas de gravidade técnica, mas essa pontuação não deve ser o único critério. Vinicius Ribeiro, CEO da EcoTrust, enfatiza que a prioridade deve considerar se a falha já está sendo explorada, a exposição do sistema e as consequências de um ataque.

Uma vulnerabilidade de gravidade média, mas já em uso por criminosos em um servidor exposto e essencial, pode exigir atenção maior do que uma falha crítica em um sistema isolado. Ferramentas como o catálogo Known Exploited Vulnerabilities (KEV) da CISA e o Exploit Prediction Scoring System (EPSS) auxiliam na avaliação do risco real.

Gestão contínua e visibilidade tecnológica

O problema das falhas antigas, que continuam sendo exploradas, também persiste. Análises indicam um aumento na média mensal de vulnerabilidades com exploração observada. A gestão de vulnerabilidades deve ser um processo contínuo, priorizando o que está sendo ativamente atacado e estabelecendo caminhos rápidos para correções urgentes em conjunto com as áreas de TI e negócio.

Para enfrentar esses desafios, as empresas precisam ampliar seus inventários tecnológicos, conhecendo não apenas os equipamentos, mas também os componentes de software utilizados, como bibliotecas. O uso de Software Bill of Materials (SBOM) facilita a identificação de produtos afetados por vulnerabilidades. A inteligência artificial (IA) também aumenta a pressão, permitindo que criminosos testem e combinem ataques conhecidos em maior escala, exigindo que as defesas acompanhem essa evolução.