Uma análise de dados conduzida pela Microsoft Threat Intelligence revela padrões consistentes entre as vulnerabilidades que realmente são exploradas em ataques reais. O estudo abrange CVEs publicadas de 1999 até setembro de 2026 e compara o conjunto total com o subconjunto de aproximadamente duas mil vulnerabilidades com exploração confirmada.
Contexto da análise
O levantamento utiliza dados de fontes como cve.org e classifica cada CVE pela consequência mais grave que ela permite. As classes de impacto incluem server-side RCE, client-side RCE, execução local de código, elevação de privilégios local, bypass de autenticação ou autorização, bypass de controles de segurança, divulgação de informações, adulteração, negação de serviço, XSS, acesso arbitrário a arquivos e spoofing.
Plataformas e tipos de código
As vulnerabilidades foram distribuídas entre Windows, Linux/Unix, dispositivos móveis, appliances de rede, IoT/OT, hosts de virtualização e pacotes de desenvolvedor. No total publicado, cerca de 77% referem-se a código de aplicação e 23% a código de sistema ou sistema operacional. No subconjunto explorado, a participação de vulnerabilidades de sistema operacional sobe para 41%.
Achados quantitativos
As classes de takeover — server-side RCE, local privilege escalation e client-side RCE — respondem por 78% das CVEs exploradas. Comparado ao conjunto completo, o server-side RCE aumenta de 20% para 37%, a elevação de privilégios local sobe de 11% para 18% e o client-side RCE cresce de 4% para 13%. Em contrapartida, XSS cai de 15% para 4% e negação de serviço diminui de 16% para 7%.
Tempos de patching e exploração
Dados do Microsoft Security Exposure Management mostram mediana de patching de cerca de duas semanas em estações de trabalho Windows, mais de um mês em servidores Windows e dez semanas ou mais em servidores Linux e aplicativos no macOS. Em appliances de rede, a mediana supera um ano. Relatórios complementares indicam que 29% dos exploits em 2025 foram lançados no mesmo dia da publicação do CVE, enquanto o tempo médio entre publicação e inclusão na CISA KEV caiu para 20 dias em 2026.
Implicações para priorização
A análise reforça a necessidade de priorizar vulnerabilidades com alto impacto e exposição, especialmente as de takeover em ativos expostos ou críticos. Ferramentas como Microsoft Defender External Attack Surface Management, Exposure Score e Attack Path Analysis permitem avaliar o raio de explosão além do escore CVSS tradicional.
Limitações da abordagem
O estudo é estatístico e não identifica CVEs específicas nem fornece orientações de patch por produto. A concentração observada em classes de takeover reflete o cenário atual, mas pode evoluir com novas técnicas de descoberta e desenvolvimento de exploits.
About The Author
