Pular para o conteúdo
Indene
pt

Artigos

Janela entre falha e ataque encolhe, e a correção mensal deixa de bastar

A Microsoft diz que a IA dá vantagem ao atacante e que a arma para explorar uma falha fica pronta em menos de 24 horas. Poucas falhas são exploradas, mas as que importam chegam antes do ciclo mensal de correção.

Por Rafael LimaCFO

4 min de leitura

Curva de perda assimétrica em traço fino sobre fundo escuro esverdeado, com o pico marcado em verde, e o título The patch window is now measured in hours.
Curva de perda assimétrica em traço fino sobre fundo escuro esverdeado, com o pico marcado em verde, e o título The patch window is now measured in hours.

O relatório anual de defesa digital da Microsoft, publicado em 1º de outubro de 2026, afirma que a inteligência artificial mudou a economia do ataque e da defesa, com vantagem para o atacante no curto prazo. O dado que mais pesa para quem decide orçamento está em outra página: o tempo mediano entre a descoberta de uma falha em uso e a arma pronta para explorá-la caiu para bem menos de 24 horas. Na leitura da Indene, isso não quer dizer que todas as falhas viraram urgentes. Quer dizer que as poucas que importam passaram a ser exploradas antes de o ciclo mensal de correção chegar a elas.

O que as fontes mostram

indicador número fonte
Tempo mediano entre a descoberta de uma falha em uso e a arma pronta bem menos de 24 horas Microsoft, 2026
Tempo típico das empresas para corrigir falha crítica exposta à internet 30 a 60 dias Microsoft, 2026
Casos de resposta a incidente que começaram por aplicação exposta explorada 24%, ante 15% um ano antes Microsoft, 2026
Tempo médio até a exploração estimado em menos 7 dias, isto é, antes da correção Mandiant, 2026
Vulnerabilidades exploradas por mês 18 de janeiro a agosto de 2026, ante 10,5 em 2025 Google Threat Intelligence, 2026
Parcela das vulnerabilidades divulgadas em 2026 que chegaram a ser exploradas 0,23% Google Threat Intelligence, 2026
Violações na América Latina e Caribe que começaram por exploração de vulnerabilidade 44% Verizon DBIR, 2026

Os números se completam. O volume de falhas divulgadas explodiu: segundo o Google, a quantidade de CVEs publicadas por mês dobrou entre janeiro e agosto de 2026. Mas só uma em cada 431 foi vista em uso por atacantes, e a VulnCheck mostra que, das falhas descobertas com ajuda de IA no primeiro semestre, só 1,3% foi explorada. O que encolheu não é o tempo de todas as falhas; é o tempo das que importam, e elas se concentram em equipamento de borda, acesso remoto e identidade.

O Gartner registrou a mudança do lado de quem gerencia risco. Na pesquisa com 316 executivos e gestores de risco do segundo trimestre de 2026, a descoberta de vulnerabilidades por IA apareceu pela primeira vez na lista e já em primeiro lugar entre os riscos emergentes.

O que isso significa junto

As últimas semanas deram exemplos concretos. No Citrix NetScaler, a Unit 42, da Palo Alto Networks, viu atividade de reconhecimento a partir de 21 de agosto e exploração até horas antes do boletim do fabricante, em 27 de setembro. No Ivanti Connect Secure, a Volexity viu exploração a partir de 3 de outubro em um equipamento com todas as atualizações; a correção saiu em 13 de outubro. Nos dois casos, quem seguiu o calendário de correção à risca ficou exposto por dias ou semanas sem saber.

A Microsoft tira daí uma recomendação direta: corrigir em até 72 horas toda falha nova que afete sistema exposto à internet ou de identidade, e revisar os 90 dias anteriores à procura de sinais de que a falha foi usada antes da correção. É uma meta muito mais curta que a de 30 a 60 dias que o próprio relatório aponta como prática comum.

Para o conselho, a consequência é de medida. O indicador "porcentagem de correções aplicadas no mês" diz pouco quando uma única falha de borda, explorada por dez dias, vale mais que mil correções de rotina. O que importa é quanto tempo cada ativo exposto ficou vulnerável a uma falha explorada e se existe prova de que ninguém entrou nesse intervalo. Na América Latina, onde a exploração de vulnerabilidade já é a principal porta de entrada das violações, segundo a Verizon, essa conta pesa ainda mais.

Há também um efeito sobre a prova. Uma evidência de conformidade tirada em março, como um relatório de varredura ou um teste de intrusão, perde valor mais depressa quando a janela entre a divulgação e o ataque cabe numa semana. A evidência precisa ter data, e a data precisa ser recente.

O que fazer agora

  1. Separe do resto o inventário de ativos expostos à internet e de identidade (VPN, gateways, acesso remoto, servidores de autenticação) e dê a eles uma meta de correção em horas, não em semanas.
  2. Acompanhe o catálogo de falhas exploradas da CISA e os avisos dos fabricantes desses ativos todos os dias, e não só no ciclo mensal.
  3. Para cada falha explorada que afetou a instituição, registre quando foi divulgada, quando foi corrigida e o resultado da busca por sinais de invasão no período.
  4. Troque, no relatório ao conselho, o volume de correções pelo tempo de exposição dos ativos críticos.
  5. Revise o apetite de risco para refletir que a descoberta de falhas virou contínua, como recomenda o Gartner.

Na leitura da Indene, a velocidade de correção é um controle como outro qualquer: vale o que a prova mostra, e a prova envelhece. O tempo de exposição de um ativo crítico é um dado que entra na faixa de perda. Leia a metodologia.

Referências

Assuntos

Continue lendo

Todas as notícias