Um levantamento divulgado no começo de novembro pela área de pesquisa em segurança da Microsoft olhou para tudo o que foi anunciado como falha de software desde 1999 até setembro deste ano e separou apenas o que realmente apareceu em ataque. A conclusão merece a atenção de quem decide numa empresa: em 78% desses casos, o invasor saía com o comando da máquina ou com um privilégio mais alto dentro dela. A análise é dos pesquisadores Yair Tsarfaty e Or Begam.
Para quem administra uma clínica, um escritório de contabilidade, uma loja ou uma indústria, a leitura prática é desconfortável. A correção de falhas na maioria das empresas segue a ordem de chegada dos avisos, e não a ordem do estrago que cada problema pode provocar. O atacante, por outro lado, escolhe com muito critério. Essa diferença de método é o que lhe dá tempo, e tempo é tudo o que ele precisa.
São 383 mil falhas no total, e cerca de duas mil viraram ataque
O volume bruto confunde mais do que ajuda: aproximadamente 383 mil vulnerabilidades foram tornadas públicas nesse intervalo de quase três décadas. Dessas, por volta de duas mil, algo próximo de meio por cento, ficaram associadas a exploração de verdade. Quase tudo o que gera alerta, relatório e reunião nunca foi usado contra ninguém.
Isso não é autorização para relaxar: é o contrário. Significa que existe um grupo pequeno, reconhecível e perigoso de problemas, e que tratar todo aviso como igualmente urgente é o caminho mais curto para empurrar justamente esse grupo para depois. A equipe do estudo organizou cada CVE pelo impacto possível e pela plataforma atingida, sempre perguntando qual seria o melhor resultado para quem ataca.
Um dado muda a perspectiva de quem cuida de rede. No universo completo, 77% dos problemas estão no código dos aplicativos e 23% no código do sistema operacional. Quando o filtro é só o que foi explorado de fato, a fatia do sistema operacional salta para 41%. Ou seja: o que roda por baixo, invisível para o usuário, é onde o ataque costuma pegar.
O invasor quer controle, não barulho
O estudo mostra uma preferência clara dos atacantes por três categorias: execução remota de código, escalação de privilégio e desvio de autenticação. A comparação entre o que foi divulgado e o que acabou sendo usado deixa isso visível:
- Execução remota de código em servidor: representa 20% do conjunto geral e 37% do que foi explorado.
- Escalação local de privilégio: sobe de 11% para 18%.
- Execução remota no lado do cliente: vai de 4% para 13%.
- Cross-site scripting: desce de 15% para 4%.
- Negação de serviço: cai de 16% para 7%.
Dois exemplos citados pela própria Microsoft ajudam a entender o que isso significa fora do papel. Um é a brecha de escalação de privilégio no driver CLFS do Windows: um usuário comum da máquina conseguia subir até o nível SYSTEM, o mais alto que existe no sistema. O outro é o zero-day apelidado de MiniPlasma, que entregou esse mesmo nível de acesso em equipamentos que já tinham recebido correção. Há ainda um alerta útil para qualquer equipe de TI: o rótulo que acompanha a falha nem sempre descreve o que ela permite na prática, então vale conferir o que o invasor consegue fazer antes de declarar o assunto encerrado.
Semanas para corrigir, horas para explorar
A segunda parte do estudo trata de velocidade. Os dados de exposição de 2026 mostram o tempo mediano de correção por tipo de equipamento. Na estação de trabalho Windows, fica perto de duas semanas. No servidor Windows, passa de um mês. No servidor Linux e na aplicação macOS, supera dez semanas. No appliance de rede, passa de um ano.
Agora o outro lado do cronômetro. A VulnCheck apurou que 29% dos exploits de 2025 estavam disponíveis em até vinte e quatro horas depois de o CVE ser publicado. E o tempo que uma falha leva para entrar no catálogo KEV da CISA, a agência de cibersegurança dos Estados Unidos, encurtou: a média era de 89 dias em 2024, baixou para 57 em 2025 e, nos nove primeiros meses de 2026, ficou em 20 dias, com mediana de apenas três. Localizar e escrever exploit com ajuda de inteligência artificial tende a apertar esse prazo ainda mais.
Repare qual item é o mais lento da lista de correção: o appliance de rede. É o aparelho que fica na borda, de frente para a internet, e no qual ninguém encosta porque está funcionando. Mais de um ano de atraso no dispositivo mais exposto da empresa é um risco difícil de sustentar. Manter firmware, regras e acesso remoto em dia faz parte do serviço de firewall gerenciado e proteção de borda, e não de um mutirão feito quando sobra tempo.
Por que o servidor vale mais que a estação
O que faz uma falha valer a pena para quem ataca são duas coisas: o impacto e a exposição. Servidor reúne as duas. Em geral, ele executa contas de serviço e identidades de nuvem que carregam mais permissão do que a tarefa exigiria. Quem toma uma dessas contas herda dados, direito administrativo e caminhos que a rede já considera confiáveis, o efeito que os pesquisadores chamam de blast radius, o raio de alcance do estrago.
Traduzindo para o seu dia: a falha no notebook da recepção e a falha no servidor que guarda prontuário, nota fiscal ou projeto não pesam igual. A primeira incomoda uma pessoa. A segunda pode parar o faturamento e expor dado de cliente. Por isso a conversa sobre atualização precisa andar junto com a conversa sobre permissão, segmentação e visibilidade de quem acessa o quê, assunto de projeto de rede estruturado, não de remendo.
Uma fila de prioridade que cabe na sua semana
A ordem sugerida no estudo é direta. Primeiro vem o que permite tomada de controle. Depois, o que derruba sistema que não pode parar. Por último, as credenciais que vazaram e abrem caminho para identidades com privilégio alto. A Microsoft indica as próprias ferramentas para isso: o Defender External Attack Surface Management, para mapear o que está publicado na internet, e o Defender Vulnerability Management com a Attack Path Analysis, para ordenar o risco. Fora do ambiente Microsoft, o princípio vale com outras ferramentas. Na prática, a correção de falhas numa empresa pequena ou média cabe em quatro passos:
- Inventário do que está exposto. Liste o que responde na internet: firewall, VPN, câmera, servidor de arquivo publicado, sistema de gestão em acesso remoto.
- Fila por impacto, não por data. Tomada de controle na frente; falha de nome assustador que não entrega acesso pode esperar a próxima janela.
- Conta de serviço sob revisão. Reduza permissão de quem não precisa dela e troque credencial que circulou por e-mail ou planilha.
- Plano para quando a correção atrasar. Monitoramento que percebe acesso estranho fora de hora, papel do NOC com monitoramento 24 horas, e backup com restauração testada para quando for preciso voltar no tempo.
Nenhum desses passos exige comprar plataforma nova. Exige alguém capaz de responder, com nome e data, quem olhou a lista de atualizações desta semana e decidiu o que entra primeiro. Sem essa resposta, a fila se organiza sozinha, pela ordem errada.
Fonte: CISO Advisor — Falhas exploradas dão controle total em 78% dos casos, novembro de 2026.
A Ragnatela é especialista em firewall e em cibersegurança: cuidamos de borda de rede, atualização de equipamento, política de acesso, monitoramento e backup com restauração testada. Se você não sabe hoje qual é o item mais exposto da sua rede nem quando ele foi atualizado, fale com a nossa equipe.
Perguntas frequentes
Preciso aplicar todas as atualizações que a TI aponta?
Precisa ter uma fila. O estudo da Microsoft mostra que, de cerca de 383 mil falhas divulgadas desde 1999, apenas cerca de 2 mil apareceram em ataque real. O critério é começar pelo que permite tomada de controle ou aumento de privilégio, nos sistemas que ficam expostos à internet.
Por que o firewall entra na frente da fila?
Porque ele fica de frente para a internet e, pelos dados de exposição de 2026 citados no estudo, o appliance de rede é o item com o maior tempo mediano de correção: mais de um ano. Muita exposição somada a pouca manutenção.
Quanto tempo a empresa tem depois que uma falha vira notícia?
Menos do que parece. A VulnCheck apontou que 29% dos exploits de 2025 estavam prontos em menos de 24 horas após a divulgação do CVE e, em 2026, até setembro, a mediana para uma falha entrar no catálogo KEV da CISA foi de três dias.
Backup resolve o problema de uma falha sem correção?
Não resolve, mas limita o tamanho do prejuízo. Backup com restauração testada devolve a operação depois de um incidente; evitar o incidente depende de corrigir na ordem certa, enxugar permissão e monitorar o que acontece na rede.
