Do CVE à defesa validada em horas a nova era da cibersegurança

A janela entre identificação de uma vulnerabilidade e a sua exploração foi fechada drasticamente. Durante décadas a gestão de vulnerabilidades funcionou com um colchão temporário que permitia avaliar, programar adesivos e validar em semanas ou meses; hoje, graças às capacidades de inteligência artificial para identificar, encadear e adaptar técnicas ofensivas, esse colchão foi reduzido a horas. Ferramentas que digitalizam avisos, geram cadeias TTP (técnicas, táticas e procedimentos) e testam variantes, combinadas com modelos capazes de instrumentar exploits, aceleraram a conversão de um CVE em uma ameaça real.

Os índices públicos mostram-no com crudeza: indicadores como Zero Day Clock registram uma queda pronunciada no tempo médio entre divulgação e exploit comprovado, e relatos globais como o Verizon DBIR apontam que o tempo médio de remediação para vulnerabilidades exploradas continua a ser de várias semanas, enquanto a fração de ambientes que aplicam adesivos cai. Essa assimetria — ofensiva medida em horas e defensiva em semanas — muda as regras do jogo e obriga a repensar prioridades.

Parchear mais rápido não é a solução única. As organizações não podem simplesmente "activar" um adesivo: há provas de regressão, janelas de mudança, exigências regulamentares e sistemas críticos que não podem ser reiniciados ao critério. Além disso, o volume de CVEs publicados anualmente torna inviável uma resposta uniforme: a priorização tradicional baseada numa pontuação estática (CVSS/EPSS) já não garante que se enfoque o risco que realmente importa para uma infraestrutura concreta.

Temos outra dificuldade: muitos CVEs nunca geram um exploit público ou um "seguro" para lançar em produção, e uma porção relevante da infraestrutura está fora do alcance de ataques controlados por razões de criticidade ou isolamento. Em paralelo, modelos avançados de AI demonstraram a sua capacidade de descobrir falhas em projetos de alta qualidade e longo manutenção, o que significa que a linha base de 2025 deve ser tomada como um piso em, não como um teto.

A alternativa operacional é avaliar exploitabilidade contra seus controles reais, não contra uma etiqueta. Em vez de perguntar apenas "que vulnerabilidades existem?", a questão operacional deve ser "que vulnerabilidades podem ser exploradas, hoje, contra os controles que tenho implantados?". Essa abordagem exige decompor cada CVE na sequência de técnicas que requer um atacante e validar cada elo da cadeia frente a EDR, políticas de hardening, allow-listing, protecções de memória e configurações de rede. Se qualquer elo se quebrar pelo controle ativo, a ameaça não chega a destino.

Validar por inferência — isto é, testar cada técnica sem necessidade de detonar um exploit em produção — permite avaliar ativos que são demasiado sensíveis para teste de exploração ao vivo, bem como CVEs de dia zero que ainda não contam com um exploit público. Esse método produz um resultado acionável e uma evidência reprodutível que pode ser levada à mesa directiva para justificar adesivos, atenuações temporárias ou aceitação de risco.

O que deveriam fazer equipas e responsáveis hoje. Primeiro, incorporar contexto de ativos e controles na priorização: nem todos os ativos são iguais e nem todas as vulnerabilidades são exploradas em todos os ambientes. Em segundo lugar, a implementação de capacidades de validação contínua de controlos que permitam reavaliar decisões anteriores à medida que a configuração muda. Terceiro, integrar fontes de inteligência sobre técnicas e cadeias de ataque para mapear CVEs a TTP. Quarto, melhorar os processos de mudança e testes para reduzir o tempo de implantação de mitigações críticas quando a evidência mostra exploração real ou alta probabilidade de sucesso.

Além disso, é imprescindível reforçar defesas complementares: regras de allow-listing, detecção e resposta robusta (EDR/XDR), segmentação de rede para limitar alcance e controles específicos de proteção de credenciais e memória. Simultaneamente, há que desenvolver métricas orientadas para a exploração verificável: percentagem de exposições validadas como exploradas, tempo médio desde a divulgação a veredicto (explotable/não exploável), e cobertura de controlos críticos contra técnicas mapeadas.

Governação e comunicação. As decisões de risco sobre vulnerabilidades devem ser apoiadas em evidências reprodutíveis. Os comitês de risco e os conselhos precisam auditar métricas que não sejam apenas contagens de CVE pendentes, mas veredictos baseados em testes de controle e alcance. Essa mudança comunica claramente a negócios por que algumas vulnerabilidades se patcham imediatamente, outras se mitigam e algumas se aceitam temporariamente com compensações.

Finalmente, não há que subestimar a preparação para um ambiente onde a automação ofensiva é a norma. Formação, exercícios de mesa, playbooks de resposta e acordos claros com equipes de mudança e operações são parte essencial para reduzir a fricção entre detecção, verificação e remediação. O investimento em processos e ferramentas que permitam converter um CVE em uma decisão de defesa em horas, não semanas, é hoje tão estratégica quanto o investimento em tecnologia defensiva.

Para aqueles que querem aprofundar em como mapear o CVEs a cadeias de técnicas e validar controles sem detonar exploits, existem recursos técnicos e estudos de caso públicos que mostram abordagens e ferramentas que implementam esse paradigma. A transição exige repensar métricas, processos e tecnologia para que a defesa recupere a vantagem em uma era onde a AI acelera a ofensiva.