A gestão de vulnerabilidades em infraestruturas de rede é, há anos, um dos maiores desafios operacionais para administradores de sistemas. Mas um conjunto de dados recentes, publicados por organismos como a CISA norte-americana, a Forescout e a Onyxia Cyber, torna o problema mais urgente do que nunca: as equipas de TI continuam a remendar tarde, a priorizar mal e a deixar janelas abertas que os atacantes exploram em dias — por vezes em horas. Saber quais as falhas a corrigir em primeiro lugar deixou de ser uma questão académica para se tornar numa decisão operacional com consequências diretas na continuidade de negócio.
Em resumo: o problema já não é a falta de correções, mas sim a incapacidade de as priorizar. Segundo o Verizon DBIR 2026, apenas 26% das vulnerabilidades do catálogo KEV da CISA foram totalmente corrigidas em 2025 (contra 38% no ano anterior) e o tempo mediano de resolução subiu para 43 dias. Pela primeira vez, a exploração de vulnerabilidades tornou-se o principal vetor de acesso inicial (31% dos ataques), com os equipamentos de perímetro e VPN a saltarem de 3% para 22%. A resposta não é corrigir tudo ao mesmo tempo, mas adotar uma remediação baseada no risco real: priorizar o que está exposto à internet, é ativamente explorado e sustenta funções críticas do negócio.
O problema não é falta de patches — é falta de priorização
O volume de vulnerabilidades divulgadas continua a crescer a um ritmo sem precedentes. Em 2025, a CISA publicou 508 avisos ICS cobrindo 2155 vulnerabilidades — o maior volume desde que o acompanhamento teve início, com um aumento acentuado nas falhas de elevada gravidade que afetam ativos nucleares como controladores de campo, PLCs e sistemas SCADA. Num ambiente assim, a resposta instintiva — “corrijam tudo o mais depressa possível” — é operacionalmente impossível.
Os dados mostram que a realidade está longe do ideal. De acordo com o Verizon Data Breach Investigations Report de 2026, apenas 26% das vulnerabilidades presentes no catálogo KEV da CISA foram integralmente corrigidas pelas organizações em 2025, uma queda face aos 38% do ano anterior. O tempo mediano de resolução completa subiu para 43 dias. Em termos práticos, isto significa que a maioria das organizações deixa falhas conhecidas e ativamente exploradas sem correção durante semanas.
O problema é particularmente grave nas infraestruturas críticas. Apenas 31,3% das organizações de infraestruturas críticas têm como objetivo resolver vulnerabilidades críticas em três dias, uma taxa quase metade da verificada noutros setores da indústria. Este atraso estrutural cria uma janela de exposição que os atores maliciosos conhecem e exploram sistematicamente.
Quais as falhas que os administradores devem corrigir em primeiro lugar?
A questão central não é apenas “há uma vulnerabilidade?” mas sim “esta vulnerabilidade está a ser explorada ativamente, em sistemas críticos, por atores com capacidade e motivação?” A CISA sistematizou este raciocínio no seu catálogo KEV (Known Exploited Vulnerabilities) e na abordagem SSVC (Stakeholder-Specific Vulnerability Categorization). Este modelo de árvore de decisão converte dados técnicos complexos em prioridades de remediação claras, permitindo às equipas de TI focarem-se nas falhas com maior probabilidade de exploração.
Na prática, os administradores devem considerar quatro fatores cumulativos ao decidir o que corrigir primeiro:
- Existência de exploit público e exploração ativa confirmada — uma vulnerabilidade com código de exploração disponível e presença no catálogo KEV deve ser tratada como emergência.
- Exposição do ativo à internet — sistemas com interfaces voltadas para a rede pública (VPNs, firewalls, sistemas de acesso remoto, appliances de gestão) são os alvos preferenciais de exploração inicial.
- Criticidade do ativo para a operação — uma falha num servidor de correio eletrónico interno e uma falha num controlador de processo industrial ou num sistema de autenticação centralizado não têm o mesmo peso operacional.
- Impacto potencial em cadeia — o modelo moderno de priorização identifica “combinações tóxicas”: múltiplas descobertas individualmente moderadas que convergem no mesmo recurso para criar um caminho de exploração crítico, o que exige uma visão baseada em grafos que ligue vulnerabilidades à infraestrutura, identidade, dados e contexto de rede.
Os vetores de ataque mais explorados em infraestruturas em 2025
Os equipamentos de perímetro são hoje um alvo central — algo que temos documentado repetidamente, como na falha na VPN da Palo Alto explorada para instalar ransomware Qilin. E o volume de correções a gerir não para de crescer: só a Microsoft resolveu cerca de 570 falhas num único Patch Tuesday. Sem priorização, é impossível acompanhar.
Os dados de incidentes reais confirmam padrões repetíveis. O Verizon DBIR 2025 reportou que o envolvimento de terceiros em violações duplicou para 30% e que a exploração de vulnerabilidades conhecidas aumentou 34%. A combinação de dependências externas mal monitorizadas com falhas não corrigidas em sistemas legados constitui o cenário mais frequente de comprometimento inicial.
Os dispositivos de tecnologia operacional (OT) e de IoT industrial representam um vetor de risco crescente. Os sistemas de infraestruturas dependem de dispositivos ligados como contadores inteligentes, sensores industriais e unidades de telemetria; muitos dispositivos IoT e IIoT ainda utilizam protocolos desatualizados com palavras-passe predefinidas e segurança mínima, funcionam ininterruptamente em ambientes remotos e não passam por ciclos normais de patching e monitorização.
A convergência entre OT, IT e cloud agrava o problema. A investigação OT da Fortinet em 2025 conclui que o tradicional “air gap” desapareceu em grande medida, tornando a segmentação deficiente, a confiança de identidade herdada e o acesso remoto mal monitorizado em fatores de risco muito mais relevantes do que antes. Incidentes recentes confirmam que credenciais fracas em painéis de controlo ligados à internet continuam a ser porta de entrada para atacantes. Em abril de 2025, atacantes assumiram o controlo do sistema de uma pequena barragem na Noruega Ocidental e abriram uma válvula durante quatro horas; os serviços de segurança noruegueses atribuíram o incidente publicamente a hackers pró-russos.
Uma abordagem de remediação baseada no risco real
| Critério de priorização | Pergunta-chave | Prioridade |
|---|---|---|
| Exploração ativa (KEV) | Está no catálogo KEV da CISA ou há exploração observada? | Máxima |
| Exposição à internet | O sistema é acessível a partir do exterior? | Máxima |
| Equipamentos de perímetro | É uma firewall, VPN ou gateway? | Alta |
| Criticidade para o negócio | Suporta funções ou dados essenciais? | Alta |
| Só pontuação CVSS elevada | É crítica mas não exposta nem explorada? | Média |
A CISA formalizou em 2026 a orientação de que nem todas as vulnerabilidades merecem atenção imediata. As agências são encorajadas a adiar vulnerabilidades de menor prioridade e a concentrar esforços nas áreas de maior risco — aquelas com evidência de exploração real, ou seja, presentes no catálogo KEV —, sendo que apenas as vulnerabilidades de risco mais elevado devem ser corrigidas em três dias, enquanto outras podem ser resolvidas em prazos mais alargados.
Para os administradores de sistemas, isto traduz-se numa metodologia concreta:
- Inventariar todos os ativos com exposição externa, incluindo dispositivos de acesso remoto, appliances de rede e sistemas de gestão.
- Cruzar o inventário com o catálogo KEV e com os avisos do CERT.PT/CNCS para identificar falhas com exploração ativa confirmada.
- Aplicar a lógica SSVC: exploração confirmada + ativo crítico + impacto elevado = remediação imediata, em horas, não em dias.
- Segmentar redes OT/IT para limitar o movimento lateral em caso de comprometimento inicial.
- Monitorizar continuamente novos avisos e atualizar as prioridades de remediação em função do panorama de ameaças em tempo real.
Enquadramento legal e regulatório em Portugal e na União Europeia
Em Portugal, a obrigação de gerir vulnerabilidades de forma sistemática não é apenas uma boa prática — é um requisito legal para um conjunto crescente de entidades. O Decreto-Lei n.º 125/2025, que transpõe para o direito português a Diretiva NIS2, estabelece obrigações explícitas de gestão de risco de cibersegurança para entidades essenciais e importantes, incluindo a implementação de medidas para tratamento de vulnerabilidades e gestão de incidentes. As entidades abrangidas devem demonstrar que adotam processos documentados de identificação, avaliação e remediação de vulnerabilidades nos seus sistemas de informação.
O Centro Nacional de Cibersegurança (CNCS) e o CERT.PT publicam regularmente alertas e avisos sobre vulnerabilidades com exploração ativa que afetam infraestruturas nacionais, constituindo uma referência obrigatória para os administradores de sistemas portugueses. A consulta periódica destes recursos, articulada com os catálogos internacionais como o KEV da CISA e os avisos da ENISA, permite construir uma visão de priorização contextualizada para o ambiente regulatório e de ameaças específico de Portugal e da União Europeia. As organizações que negligenciem esta obrigação expõem-se não apenas a riscos operacionais, mas também a sanções administrativas e responsabilidade civil em caso de incidente.
A mensagem central para qualquer administrador de sistemas é clara: num ambiente em que as vulnerabilidades conhecidas são exploradas em menos de 24 horas após a divulgação pública de um exploit, a priorização baseada no risco real — e não numa lista interminável ordenada por CVSS — deixou de ser uma opção para se tornar numa necessidade operacional e regulatória.
Perguntas frequentes
O que é o catálogo KEV da CISA?
O KEV (Known Exploited Vulnerabilities) é um catálogo mantido pela agência norte-americana CISA que lista as vulnerabilidades para as quais há prova de exploração ativa por atacantes. É uma das melhores referências para priorizar correções, porque distingue as falhas teoricamente graves daquelas que estão realmente a ser usadas em ataques.
Que falhas devo corrigir primeiro?
Priorize as vulnerabilidades que reúnem três condições: estão a ser ativamente exploradas (por exemplo, constam do catálogo KEV), afetam sistemas expostos à internet — sobretudo equipamentos de perímetro como firewalls e VPN — e suportam funções ou dados críticos para a organização. A pontuação CVSS elevada, por si só, não deve ditar a prioridade.
Porque é que a pontuação CVSS não chega para priorizar?
Porque o CVSS mede o impacto teórico de uma falha, mas não diz se ela está a ser explorada, se existe código de exploração fiável, se o sistema afetado está exposto ou se há controlos compensatórios. Priorizar apenas pelo CVSS leva as equipas a gastar tempo em falhas que representam pouco risco real, deixando de fora as que os atacantes usam de facto.
Quanto tempo têm as organizações para corrigir?
Cada vez menos. A janela entre a divulgação de uma falha e a sua exploração ativa comprimiu-se para dias, por vezes horas. No entanto, o tempo mediano de correção completa subiu para 43 dias em 2025, segundo o Verizon DBIR. Esta diferença entre a velocidade do ataque e a da resposta é precisamente a janela de exposição que os atacantes aproveitam.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela CISA, pelo Verizon Data Breach Investigations Report 2025/2026, pela Forescout Technologies, pela Onyxia Cyber e pela Infosecurity Magazine.