Vulnerabilidades críticas e altas em programas de bug bounty brasileiros aumentam

Sete em cada dez vulnerabilidades confirmadas em programas de bug bounty de empresas brasileiras, entre setembro de 2025 e setembro de 2026, foram classificadas como críticas ou altas. A proporção aumentou de 58,2% para 68,5% em relação aos 12 meses anteriores, segundo levantamento da BugHunt, plataforma de bug bounty do Brasil. O avanço é impulsionado principalmente pelas falhas de gravidade alta, que mais que dobraram sua participação, passando de 26,3% para 40,8% do total, tornando-se as mais comuns.

Essas falhas, se exploradas por cibercriminosos, podem permitir que um cliente acesse dados de outro ou que um usuário comum execute funções destinadas a administradores. A análise comparativa revela que as falhas de gravidade média, que lideravam no período anterior, caíram de 36,1% para 22%. Já as críticas, o nível máximo de severidade, diminuíram de 31,8% para 27,8%, enquanto as de gravidade baixa subiram de 5,7% para 9,5%.

O que explica o aumento das falhas mais graves

Caio Telles, cofundador da BugHunt, explica que o aumento das vulnerabilidades mais graves está ligado à complexidade crescente dos sistemas corporativos. "Os sistemas corporativos ganharam camadas, integrações e regras de negócio que dependem umas das outras", afirma.

Ele detalha que os problemas mais básicos tendem a ser resolvidos à medida que as empresas amadurecem suas práticas de segurança. "O que aparece com mais frequência hoje está nas conexões entre essas partes, onde um erro alcança mais coisas ao mesmo tempo", completa.

Risco de falhas duplicadas e o tempo de exposição

O estudo da BugHunt também aponta que 15,1% dos relatórios de vulnerabilidade fechados no período descreviam falhas que já haviam sido reportadas por outro pesquisador. Essa proporção, próxima aos 14,4% do ano anterior, indica que a mesma brecha pode ser descoberta por múltiplos pesquisadores simultaneamente.

Para a BugHunt, isso sugere que uma vulnerabilidade pode estar visível para mais de uma pessoa ao mesmo tempo. Se dois pesquisadores a encontraram, um atacante também pode chegar a ela. O intervalo entre a primeira descoberta e a correção da falha representa o tempo em que essa porta permanece aberta para exploração maliciosa.

Recomendações para a correção de vulnerabilidades

Diante desse cenário, a BugHunt recomenda que as empresas priorizem a correção das vulnerabilidades com base em sua gravidade, em vez de seguir a ordem cronológica em que foram descobertas. A maior parte das falhas confirmadas exige atenção imediata.

A empresa também sugere que as organizações acompanhem o tempo entre a confirmação de uma falha e sua efetiva correção, um indicador que raramente é apresentado às diretorias. Manter uma avaliação externa contínua dos sistemas ao longo do ano é outra recomendação.

Bruno Telles, cofundador da BugHunt, reforça a importância de tratar falhas de gravidade alta como decisões de negócio. "Uma vulnerabilidade de gravidade alta confirmada precisa ser tratada como uma decisão de negócio, com prazo e responsáveis definidos", diz.

Ele conclui que "o que diz mais sobre a segurança de uma organização é o tempo que as mais graves levam para ser corrigidas e a confirmação de que a correção funcionou", em contraste com o indicador mais comum, que é a quantidade de falhas encontradas.