Nove horas separam, em média, a identificação de uma exposição da primeira ação para a resolver nos ambientes medidos pela Check Point Software, segundo um white paper sobre a abordagem a que a empresa chama Safe Remediation. O valor está muito longe dos 43 dias que o relatório DBIR 2026 da Verizon aponta como mediana para a resolução integral de falhas ativamente exploradas. A diferença explica-se, em boa parte, pelo que cada estudo mede.
Resposta rápida: A Check Point coloca em nove horas o tempo médio entre identificar uma exposição e agir, e dá como bem-sucedidas 99,5% das ações de correção. São dados de um fabricante sobre os ambientes que mediu, não uma média do mercado, e referem-se ao tempo até agir, não à correção definitiva. Para as equipas, a recomendação é medir o próprio tempo de resposta e usar proteções temporárias enquanto o patch definitivo é testado.
O que diz o white paper da Check Point
O documento chama-se Safe Remediation: Confident Remediation in Production e foi apresentado no blogue da Check Point. O objeto de estudo é a plataforma da própria empresa, a Check Point Exposure Management, e o modo como cada correção é testada contra o estado real da produção, aplicada através dos controlos já existentes e depois confirmada. Os números devem, por isso, ser lidos como métricas de um fornecedor sobre os ambientes que analisou.
Além das nove horas, o ritmo médio registado foi de 381,2 ações de correção por mês em cada ambiente. O método assenta num ciclo de quatro passos (observar, provar, agir e confirmar), que vai da telemetria de produção à verificação posterior à mudança. Na definição da empresa, corrigir não é apenas instalar patches: entram também o reforço de regras de IPS, a aplicação de indicadores, o endurecimento de endpoints e sistemas operativos, os controlos compensatórios e os takedowns.
338 alertas, um único sem proteção
O exemplo usado no white paper parte de uma lista de 338 achados num único ambiente. Uma triagem clássica deixaria a equipa com 283 casos de CVSS igual ou superior a sete, 89 com exploit público confirmado e 63 já referenciados por uma agência de cibersegurança como alvo de exploração ativa. As defesas já instaladas cobriam, no entanto, todos os casos menos um.
A leitura da empresa é que a urgência não é igual para todas as falhas. A equipa ganha tempo para testar o patch definitivo se colocar à frente da aplicação um patch virtual ou uma regra de IPS. A página do white paper acrescenta um dado sobre proteções por ativar: em 47% das organizações analisadas, menos de metade estava ligada.
Nove horas ou 43 dias?
Outros relatórios de 2026 medem coisas diferentes e chegam a valores muito mais altos. O DBIR 2026 da Verizon coloca nos 43 dias a mediana para fechar por completo uma falha do catálogo KEV da CISA, contra 32 na edição anterior. O mesmo relatório regista 26% de correção integral em 2025, depois de 38% um ano antes.
A Qualys contrapõe um tempo médio de exploração de cerca de sete dias negativos a cerca de 30 dias para corrigir. O valor negativo indica uma semana de avanço do atacante sobre a disponibilização de qualquer correção. A investigação da mesma empresa conta 473 milhões de fechos em 2025, face a 73 milhões em 2022, enquanto as falhas críticas ainda abertas ao sétimo dia passavam de 56% para 63%.
| Indicador | Valor | Fonte |
|---|---|---|
| Tempo médio entre identificar a exposição e agir | 9 horas | Check Point, white paper Safe Remediation |
| Taxa de sucesso das ações de correção | 99,5% | Check Point, white paper Safe Remediation |
| Mediana para correção integral de falhas KEV | 43 dias | Verizon DBIR 2026 |
| Falhas KEV totalmente corrigidas em 2025 | 26% | Verizon DBIR 2026 |
| Tempo médio de correção | cerca de 30 dias | Qualys |
Os próprios dados da Check Point variam consoante o documento e o setor. O 2026 Exposure Gap Report, da mesma empresa, já tinha mostrado uma distância grande entre setores: cerca de 12,6 horas de média nas utilities e perto de 158 horas na saúde. Um resumo de solução da fabricante refere um MTTR médio de 3,5 dias. Não foi possível confirmar se estas métricas são diretamente comparáveis entre si.
O que as equipas podem retirar daqui
- Medir dois tempos distintos: o que decorre até à primeira ação de mitigação e o que decorre até à correção definitiva.
- Priorizar pelo risco real: exploração ativa conhecida, exposição à Internet e existência (ou não) de um controlo compensatório.
- Rever as proteções que estão apenas em modo
Detecte validar se podem passar a bloquear. - Registar as mitigações temporárias como temporárias, com prazo para o patch definitivo.
- Confirmar o resultado depois de cada alteração, em vez de dar o pedido por fechado.
Porque importa em Portugal
O tempo de correção deixou de ser apenas um indicador técnico. O Decreto-Lei n.º 125/2025 trouxe a diretiva europeia para a lei portuguesa através do Regime Jurídico da Cibersegurança (transposição da NIS2). O CNCS inclui «o tratamento e a divulgação de vulnerabilidades» nas medidas de cibersegurança mínimas que descreve nas suas perguntas frequentes. A concretização do regime consta do Regulamento n.º 756/2026, de 22 de junho.
Para as entidades abrangidas, saber quanto tempo uma falha conhecida fica aberta é, assim, parte da gestão de risco que têm de demonstrar. Para as restantes, incluindo PME, uma vulnerabilidade por corrigir que resulte em acesso indevido a dados pessoais pode dar origem a obrigações ao abrigo do RGPD.
Perguntas frequentes
As empresas corrigem mesmo falhas em nove horas?
Não necessariamente. As nove horas dizem respeito ao intervalo entre identificar uma exposição e agir, nos ambientes medidos pela Check Point. Essa ação pode ser uma proteção temporária e não a correção definitiva.
O que é a abordagem Safe Remediation?
É o nome que a Check Point dá a um processo em que cada correção é avaliada face às condições reais de produção, aplicada pelos controlos existentes e confirmada no final. O objetivo declarado é reduzir a exposição sem interromper serviços.
Porque é que outros relatórios falam em semanas?
Porque medem a correção completa em amostras mais amplas. A Verizon, por exemplo, chega a uma mediana de 43 dias para a resolução integral de falhas do catálogo KEV.
A lei portuguesa obriga a corrigir vulnerabilidades?
O tratamento de vulnerabilidades figura entre as medidas mínimas de cibersegurança indicadas pelo CNCS para as entidades abrangidas pelo Regime Jurídico da Cibersegurança. Cada entidade deve confirmar no regulamento aplicável o que lhe é exigido.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Check Point Software (blogue), pela Check Point Exposure Management (white paper), pela Verizon (DBIR 2026), pela Qualys e pelo CNCS.