Vulnerabilidades críticas e altas em programas de bug bounty no Brasil aumentam

A proporção de vulnerabilidades classificadas como críticas ou altas em programas de bug bounty de empresas brasileiras aumentou significativamente entre setembro de 2025 e setembro de 2026. O levantamento, realizado pela BugHunt, maior plataforma de bug bounty do Brasil, indica que 68,5% das falhas confirmadas se enquadram nessas categorias, um crescimento em relação aos 58,2% registrados nos 12 meses anteriores. Esse avanço é impulsionado principalmente pelas falhas de gravidade alta, que saltaram de 26,3% para 40,8% e se tornaram as mais comuns.

Essas vulnerabilidades de alta gravidade, se exploradas, podem ter consequências sérias, como permitir que um cliente acesse dados de outro ou que um usuário comum obtenha acesso a funções restritas de administradores. Em comparação, as falhas de gravidade média, que antes lideravam, caíram de 36,1% para 22%. As críticas, embora ainda representem um risco máximo, diminuíram de 31,8% para 27,8%, enquanto as de baixa gravidade subiram de 5,7% para 9,5%.

O que explica o aumento das falhas mais graves?

Caio Telles, cofundador da BugHunt, explica que o cenário atual reflete a complexidade crescente dos sistemas corporativos. "Os sistemas corporativos ganharam camadas, integrações e regras de negócio que dependem umas das outras", afirma. Segundo ele, os problemas mais básicos tendem a ser resolvidos com o amadurecimento das empresas. As falhas que emergem com mais frequência hoje estão nas conexões entre as diferentes partes do sistema, onde um único erro pode afetar múltiplos componentes simultaneamente.

O estudo também aponta que 15,1% dos relatórios de vulnerabilidade fechados no período indicavam uma falha que já havia sido reportada por outro pesquisador. Essa taxa, próxima aos 14,4% do ano anterior, sugere que a mesma brecha pode ser descoberta por diferentes pessoas, aumentando o risco de que um atacante também a encontre. O tempo entre a descoberta inicial e a correção se torna, portanto, o período em que a vulnerabilidade permanece exposta.

Recomendações para as empresas

Diante desse cenário, a BugHunt recomenda que as empresas priorizem a correção das vulnerabilidades com base em sua gravidade, em vez de seguir a ordem cronológica em que foram descobertas. A empresa também sugere que as organizações monitorem o tempo decorrido entre a confirmação de uma falha e sua efetiva correção, um indicador que, segundo Bruno Telles, cofundador da BugHunt, raramente é acompanhado pelas diretorias.

"Uma vulnerabilidade de gravidade alta confirmada precisa ser tratada como uma decisão de negócio, com prazo e responsáveis definidos", destaca Bruno Telles. Ele ressalta que o indicador mais relevante para a segurança de uma organização não é apenas a quantidade de falhas encontradas, mas sim o tempo necessário para corrigir as mais graves e a confirmação de que essas correções foram eficazes. A avaliação externa contínua dos sistemas ao longo do ano também é um ponto chave.