Corrigir falhas de segurança pode não impedir ataques às empresas

Uma atualização de segurança pode fechar a falha utilizada por um criminoso sem eliminar o acesso que ele já conseguiu obter.

Isso acontece quando o invasor explora uma vulnerabilidade, entra no sistema e estabelece outras formas de permanecer nele.

O risco ganhou importância diante de levantamentos recentes que mostram ataques ocorrendo antes mesmo da divulgação pública de problemas de segurança em sistemas corporativos.

O relatório M-Trends 2026 , da Mandiant , empresa de cibersegurança do Google Cloud , identificou que o intervalo médio entre a divulgação de vulnerabilidades e sua exploração em dispositivos de borda foi de menos sete dias em 2025.

Na prática, isso significa que, nos casos analisados, os primeiros sinais de exploração foram observados, em média, uma semana antes da divulgação das falhas.

Dispositivos de borda são equipamentos que conectam a rede interna de uma organização ao mundo externo, como firewalls, roteadores e sistemas de acesso remoto.

Por funcionarem como portas de entrada para a infraestrutura corporativa, podem se tornar alvos de criminosos que tentam acessar informações ou comprometer operações.

O cenário também aparece em um levantamento da EcoTrust , empresa de cibersegurança responsável por um mapa público de ameaças.

Segundo dados informados pela companhia, em 7 de outubro, a ferramenta reunia 90 vulnerabilidades com registros de exploração nos 90 dias anteriores.

Desse total, 61% foram classificadas como zero-days pela metodologia utilizada no monitoramento.

Nesse levantamento, a classificação considera vulnerabilidades com registros de exploração em data igual ou anterior à divulgação pública da falha.

O indicador não significa, necessariamente, que todas estavam sem correção disponível naquele momento.

Também não representa o percentual de todas as vulnerabilidades descobertas no período, mas apenas o conjunto analisado pela ferramenta.

Para Cristine Hoepers , gerente-geral do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil ( CERT.br ), o problema exige que as empresas considerem a possibilidade de seus sistemas já terem sido comprometidos quando recebem um alerta de segurança.