Uma atualização de segurança pode fechar a falha utilizada por um criminoso sem eliminar o acesso que ele já conseguiu obter. Isso acontece quando o invasor explora uma vulnerabilidade, entra no sistema e estabelece outras formas de permanecer nele. O risco ganhou importância diante de levantamentos recentes que mostram ataques ocorrendo antes mesmo da divulgação pública de problemas de segurança em sistemas corporativos.

O relatório M-Trends 2026, da Mandiant, empresa de cibersegurança do Google Cloud, identificou que o intervalo médio entre a divulgação de vulnerabilidades e sua exploração em dispositivos de borda foi de menos sete dias em 2025. Na prática, isso significa que, nos casos analisados, os primeiros sinais de exploração foram observados, em média, uma semana antes da divulgação das falhas.

Dispositivos de borda são equipamentos que conectam a rede interna de uma organização ao mundo externo, como firewalls, roteadores e sistemas de acesso remoto. Por funcionarem como portas de entrada para a infraestrutura corporativa, podem se tornar alvos de criminosos que tentam acessar informações ou comprometer operações.

O cenário também aparece em um levantamento da EcoTrust, empresa de cibersegurança responsável por um mapa público de ameaças. Segundo dados informados pela companhia, em 7 de outubro, a ferramenta reunia 90 vulnerabilidades com registros de exploração nos 90 dias anteriores. Desse total, 61% foram classificadas como zero-days pela metodologia utilizada no monitoramento.

Nesse levantamento, a classificação considera vulnerabilidades com registros de exploração em data igual ou anterior à divulgação pública da falha. O indicador não significa, necessariamente, que todas estavam sem correção disponível naquele momento. Também não representa o percentual de todas as vulnerabilidades descobertas no período, mas apenas o conjunto analisado pela ferramenta.

Para Cristine Hoepers, gerente-geral do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), o problema exige que as empresas considerem a possibilidade de seus sistemas já terem sido comprometidos quando recebem um alerta de segurança.

“Em um cenário em que as vulnerabilidades podem estar sendo exploradas antes mesmo de haver correção, as empresas precisam mudar a mentalidade, assumir que podem já estar comprometidas e criar processos para lidar com essa realidade”, afirma Cristine ao IT Forum.

Leia mais: Pós corporativa da V8.Tech gera 24 projetos e leva agentes de IA à operação

Por que instalar uma atualização pode não resolver o problema

Uma vulnerabilidade é uma falha em um programa, equipamento ou sistema que pode ser utilizada para realizar ações não autorizadas. Dependendo do problema, um criminoso pode conseguir acessar informações, interromper serviços ou assumir o controle de recursos tecnológicos.

Quando o fabricante descobre uma vulnerabilidade, pode disponibilizar uma atualização de segurança, conhecida como patch, para impedir que aquela falha continue sendo explorada.

Entretanto, se um invasor aproveitou o problema antes da atualização, ele pode ter instalado um programa malicioso, criado uma conta de acesso ou roubado credenciais. Nesses casos, fechar a falha original não elimina necessariamente o que o criminoso fez enquanto estava no sistema.

Por isso, Cristine recomenda que as organizações investiguem possíveis sinais de invasão em sistemas críticos afetados por vulnerabilidades que já estejam sendo exploradas. Se houver confirmação de comprometimento, a empresa precisa tratar o incidente antes de considerar o ambiente seguro.

“Caso já tenha sido comprometida, é necessário seguir as políticas de tratamento de incidentes e reinstalar ou limpar o sistema antes de aplicar as correções”, explica.

Essa investigação é conhecida como triagem forense. O procedimento envolve examinar registros de atividades, arquivos e outros vestígios para identificar se houve uma invasão e quais ações foram realizadas.

A orientação também aparece na diretriz BOD 26-04, publicada em junho de 2026 pela Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA). A norma estabelece critérios de priorização de atualizações para órgãos federais civis americanos e prevê triagem forense em determinadas situações de risco. Embora não seja obrigatória para empresas brasileiras, a diretriz oferece uma referência sobre como integrar a correção de vulnerabilidades à investigação de possíveis incidentes.

Cristine também defende a busca proativa por ameaças, conhecida como threat hunting. Diferentemente do monitoramento que reage aos alertas gerados por ferramentas de segurança, essa atividade envolve profissionais que procuram indícios de invasão mesmo quando nenhum aviso foi emitido. Isso é importante porque um criminoso pode utilizar contas legítimas ou ferramentas já existentes na organização para permanecer no ambiente sem chamar atenção.

Nem sempre a vulnerabilidade mais grave é a mais urgente

Além de identificar possíveis invasões, as empresas precisam decidir quais falhas de segurança devem ser corrigidas primeiro. A tarefa se torna complexa quando uma organização utiliza centenas ou milhares de aplicações, servidores e equipamentos, cada um sujeito a diferentes vulnerabilidades.

Uma das principais referências utilizadas nesse processo é o Common Vulnerability Scoring System (CVSS), sistema internacional que atribui notas de zero a dez conforme a gravidade técnica de uma vulnerabilidade. Para calcular a nota básica, o sistema analisa fatores como a possibilidade de explorar a falha pela internet, a dificuldade de executar o ataque, a necessidade de possuir uma conta de acesso e a participação de um usuário, além dos possíveis danos, como roubo de informações, alteração de dados ou interrupção de serviços.

Uma vulnerabilidade que permite acessar um servidor remotamente, sem senha e sem a participação de outra pessoa, por exemplo, tende a receber uma avaliação mais grave do que uma falha que exige acesso físico ao equipamento, desde que os demais fatores sejam semelhantes.

A nota básica, porém, não determina sozinha a urgência da correção em cada empresa. Uma vulnerabilidade considerada crítica pode estar presente em um sistema isolado, enquanto outra, de gravidade moderada, pode afetar uma aplicação essencial para o funcionamento do negócio.

Vinicius Ribeiro, CEO da EcoTrust, explica ao IT Forum que a prioridade deve considerar se a falha já está sendo explorada por criminosos, a exposição do sistema e as consequências de um possível ataque.

“Uma falha de gravidade média, já em uso por criminosos, em um servidor exposto e essencial, deve vir antes de uma falha crítica em um sistema isolado e sem sinal de ataque”, afirma Ribeiro.

Imagine uma empresa com dois sistemas vulneráveis. O primeiro apresenta uma falha crítica, mas funciona em uma rede isolada, sem acesso direto pela internet e com outras camadas de proteção. O segundo possui uma vulnerabilidade moderada, mas está conectado à internet e é responsável por processar pagamentos de clientes.

Se criminosos já estiverem explorando a segunda falha, ela pode representar um risco mais imediato. Um ataque bem-sucedido poderia interromper transações, comprometer informações financeiras ou prejudicar o atendimento aos consumidores. Nesse cenário hipotético, a empresa poderia precisar corrigir primeiro a vulnerabilidade de menor pontuação.

A mesma lógica vale para sistemas que controlam máquinas industriais, plataformas hospitalares ou bases de recursos humanos: a prioridade depende da função do sistema, dos dados que ele armazena, da possibilidade de exploração e dos prejuízos que um ataque poderia causar.

Para ajudar nessa avaliação, as equipes de segurança podem consultar o catálogo Known Exploited Vulnerabilities (KEV), mantido pela CISA, que reúne vulnerabilidades com evidências de exploração real.

Outra referência é o Exploit Prediction Scoring System (EPSS), desenvolvido pelo FIRST, organização internacional dedicada à resposta a incidentes de segurança. O indicador utiliza modelos estatísticos para estimar a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias. Essa estimativa, porém, não representa automaticamente o risco específico de uma empresa.

Há ainda o Stakeholder-Specific Vulnerability Categorization (SSVC), método que organiza a decisão sobre correções a partir de fatores como exploração conhecida, possibilidade de automatizar ataques, impacto técnico e consequências para a organização. Em junho de 2026, o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) passou a disponibilizar informações de SSVC fornecidas pela CISA em sua base nacional de vulnerabilidades, complementando os dados de gravidade técnica.

Cristine observa que o uso isolado da pontuação de gravidade pode levar as organizações a concentrar esforços em vulnerabilidades que não representam seus maiores riscos.

“A prioridade de uma vulnerabilidade precisa estar relacionada à probabilidade de ela ser explorada por um atacante, levando em conta o impacto que essa exploração teria no negócio”, afirma.

Falhas antigas também continuam sendo exploradas

A preocupação com ataques que começam antes da divulgação de uma vulnerabilidade não elimina outro problema: falhas conhecidas há meses ou anos que continuam presentes nos sistemas.

Uma análise publicada em 30 de setembro de 2026 pelo Google Threat Intelligence Group identificou aumento na média mensal de vulnerabilidades com exploração observada, de 10,5 em 2025 para 18 entre janeiro e agosto de 2026. No mesmo comparativo, a média mensal de exploração de zero-days passou de oito para 11, o que indica que vulnerabilidades já conhecidas também contribuíram para o aumento.

O levantamento da EcoTrust aponta uma situação semelhante. Segundo a empresa, no recorte de 7 de outubro, 12% das vulnerabilidades com exploração identificada nos 90 dias anteriores haviam sido divulgadas há mais de um ano. Ou seja, uma organização pode estar exposta tanto a problemas recém-descobertos quanto a falhas antigas que ainda não foram corrigidas.

Para Ribeiro, a gestão de vulnerabilidades precisa acompanhar continuamente as ameaças identificadas e estabelecer procedimentos para tratar rapidamente aquelas que oferecem maior risco.

“A mudança necessária é sair de ciclos fixos para um processo contínuo, que priorize o que está de fato sendo atacado e tenha um caminho rápido, já combinado com TI e com o negócio, para as correções urgentes”, explica.

Essa avaliação contínua, entretanto, não significa eliminar as janelas de manutenção. Cristine ressalta que sistemas importantes não podem ser interrompidos a qualquer momento, pois as atualizações precisam ser testadas para evitar problemas de funcionamento. A diferença, segundo ela, está em estabelecer critérios para identificar quais correções podem seguir o calendário habitual e quais exigem uma resposta mais rápida, com participação das áreas de tecnologia, segurança e negócio.

Empresas precisam saber o que existe dentro de seus sistemas

Outro obstáculo é identificar quais equipamentos e aplicações estão realmente sujeitos às vulnerabilidades divulgadas. Uma empresa pode receber um alerta sobre uma falha em determinada biblioteca de software e não saber se utiliza aquele componente em algum de seus sistemas.

Bibliotecas são conjuntos de códigos prontos utilizados por desenvolvedores para construir programas. Elas permitem aproveitar funcionalidades existentes, mas também podem carregar vulnerabilidades que afetam diferentes aplicações.

Cristine cita como exemplo a Log4Shell, falha descoberta em dezembro de 2021 na biblioteca Log4j, utilizada por programas desenvolvidos em Java. O caso mostrou como um componente presente em diferentes produtos pode representar riscos para organizações que nem sempre conhecem todas as dependências de suas aplicações.

Para enfrentar essa dificuldade, a especialista recomenda que as empresas ampliem seus inventários tecnológicos. Além de identificar computadores, servidores e programas, é necessário conhecer os componentes utilizados por cada aplicação.

Uma das ferramentas disponíveis é a Software Bill of Materials (SBOM), que funciona como uma lista de ingredientes de um software. Ela reúne informações sobre bibliotecas e outros componentes, facilitando a identificação de produtos potencialmente afetados por uma vulnerabilidade. Cristine também menciona padrões que permitem receber avisos de segurança em formatos automatizados e informações dos fabricantes sobre a exposição de seus produtos a determinadas falhas.

Segundo a especialista, a dificuldade aumenta porque dados importantes podem estar distribuídos entre servidores próprios, computadores, celulares e serviços de armazenamento em nuvem. Para os CIOs, essa visibilidade é necessária para decidir onde concentrar investimentos, quais sistemas exigem proteção adicional e como reduzir riscos sem comprometer a continuidade das operações.

Inteligência artificial aumenta a pressão sobre a defesa

A utilização de inteligência artificial (IA) em ataques cibernéticos acrescenta outra dificuldade às equipes responsáveis pela proteção das empresas. Ferramentas capazes de gerar códigos e executar tarefas automatizadas podem permitir que criminosos testem diferentes técnicas de ataque em menos tempo. Isso não significa necessariamente a criação de métodos inéditos, mas a possibilidade de repetir e combinar estratégias já conhecidas em maior escala.

Cristine explica que essa capacidade amplia uma desigualdade existente na segurança digital: enquanto um criminoso precisa encontrar uma brecha para tentar entrar, os responsáveis pela defesa precisam proteger diferentes sistemas e caminhos de acesso.

“Os relatórios publicados até hoje sobre ataques feitos por modelos de IA não revelaram nenhum ataque realmente novo. O que os modelos têm feito é repetir várias vezes os ataques conhecidos e encadear muitos deles”, afirma.

Segundo a especialista, a automação também pode produzir grandes volumes de registros nos sistemas de segurança, incluindo tentativas de ataque que não tiveram sucesso. Isso aumenta a quantidade de informações que os analistas precisam examinar para identificar atividades realmente perigosas.

Quando uma vulnerabilidade já foi utilizada por criminosos, a pergunta também precisa mudar. Não basta saber se a atualização foi instalada. É necessário descobrir se alguém conseguiu entrar antes dela e se ainda mantém acesso ao ambiente.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!