A janela de armamentização de exploits colapsou de semanas para horas

A diferença entre a divulgação pública de uma vulnerabilidade e sua primeira exploração real caiu de uma média de 56 dias em 2024 para cerca de 10 horas atualmente. Em alguns casos registados, a exploração começa antes mesmo do lançamento de uma correção. Os ciclos de patches construídos em torno de cadências mensais e janelas de remediação de 30 dias nunca foram concebidos para isto, e essa incompatibilidade é agora o maior motor das manchetes de violações.

Isto não é hipotético. É o padrão por trás de quase todas as grandes histórias de exploração que a IRCNF cobriu nas últimas duas semanas — e o padrão em si é a notícia, não qualquer CVE específico.

Os números por trás do colapso

Um recorde de 48.185 CVEs foi publicado em 2025, cerca de 131 por dia, face a 40.009 no ano anterior. Esse volume, por si só, torna a triagem manual impossível para a maioria das equipas de segurança. 47,7% das vulnerabilidades adicionadas ao catálogo KEV da CISA em 2025 tinham identificadores CVE do mesmo ano. Na primeira semana após a divulgação, mais de 54% das vulnerabilidades críticas enfrentam exploração ativa. O tempo mediano até a exploração em massa de uma falha recém-divulgada é agora de apenas 5 dias.

Entretanto, a resposta dos fornecedores não acompanhou esse ritmo. Mesmo para vulnerabilidades já confirmadas como ativamente exploradas, os fornecedores levam em média 15 dias para lançar uma correção. Para falhas críticas em geral, o tempo médio de correção em 2025 foi de 54,81 dias.

Quatro casos recentes que mostram o padrão

Investigadores da Wiz rastrearam uma cadeia de três CVEs no JFrog Artifactory que atacantes usaram para plantar backdoors baseados em Rust em pipelines de build de empresas Fortune 100, numa campanha de 24 dias.

A Unidade de Investigação de Ameaças da Acronis documentou um agente ligado à China, rastreado como Red Heron, que transformou uma vulnerabilidade do Gitea (CVE-2026-60004) num framework de hacking totalmente automatizado em poucos dias.

A Cisco Talos atribuiu a exploração ativa de uma falha CVSS 10,0 no Cisco Firepower Management Center (CVE-2026-20079) ao grupo APT Sandworm e a operadores do ransomware Qilin.

E quando a GitLab divulgou este mês uma vulnerabilidade CVSS 10,0 (CVE-2026-85706), o prazo de remediação da CISA para agências federais caiu no próprio dia da divulgação.

Por que a lacuna continua a aumentar

Três forças impulsionam esta aceleração: primeiro, a engenharia reversa assistida por IA tornou muito mais rápida a passagem de um patch ou prova de conceito para um exploit funcional. Segundo, o modelo reativo tipo KEV, embora útil, é fundamentalmente um indicador atrasado. Terceiro, o volume puro: com 131 CVEs publicados por dia, mesmo equipas de segurança bem equipadas não conseguem avaliar manualmente a explorabilidade de cada divulgação antes dos atacantes o fazerem.

O que os defensores devem realmente mudar

A resposta prática não é "corrigir mais rápido" em abstrato, mas mudar quais vulnerabilidades recebem atenção imediata e como a remediação é entregue. Sistemas expostos à internet, infraestrutura CI/CD e qualquer produto com histórico no catálogo KEV deveriam ter um SLA de correção semanal, não mensal. A priorização deveria ponderar sinais de explorabilidade (pertença ao KEV, disponibilidade de PoC público, pontuação EPSS) acima da pontuação CVSS bruta. Onde um patch não puder ser implementado em 72 horas, o patching virtual através de regras WAF ou segmentação de rede deveria servir de ponte. Qualquer equipa que ainda opere segundo o modelo "patch de terça-feira mais 30 dias" deveria considerar esse modelo já quebrado para qualquer sistema com exposição real à internet.