Análise da Microsoft mostra o que as vulnerabilidades exploradas em ataques reais têm em comum

A Microsoft cruzou cerca de 383 mil CVEs divulgadas entre 1999 e setembro de 2026 com os registros de exploração real. Só cerca de 2 mil (0,5%) aparecem associadas a ataques. A análise classifica cada CVE por classe de impacto (sempre o impacto mais grave que ela habilita diretamente) e por plataforma: Windows, Linux/Unix, mobile, appliances de rede, IoT/OT, hosts de virtualização e pacotes de desenvolvimento.

A diferença aparece na distribuição. RCE no lado do servidor vai de 20% das CVEs publicadas para 37% das exploradas. Escalonamento local de privilégios sobe de 11% para 18%, e RCE no lado do cliente de 4% para 13%. XSS cai de 15% para 4% e negação de serviço de 16% para 7%. As classes de takeover (RCE, bypass de autenticação e escalonamento de privilégios) somam 78% das vulnerabilidades exploradas. Vulnerabilidades de sistema operacional passam de 23% para 41%.

Do lado do tempo, os dados de 2026 da Microsoft mostram a mediana de correção em cerca de duas semanas em estações Windows, mais de um mês em Windows Server, 10 semanas ou mais em servidores Linux e aplicações no macOS, e mais de um ano em appliances de rede. Pela VulnCheck, 29% dos exploits de 2025 saíram em até um dia após a publicação da CVE. Segundo a CISA, o tempo médio até a entrada no catálogo KEV caiu de 89 dias em 2024 para 57 em 2025, e para 20 dias em 2026 até setembro, com mediana de 3 dias. A Microsoft também alerta que a classificação oficial nem sempre reflete o que o atacante consegue de fato: algumas falhas descritas como RCE acabam virando só negação de serviço na prática.

A cobertura anterior do CEVIU ajuda a ver esses números em ação. Em 9 de setembro de 2026, o CEVIU noticiou "Microsoft Lança Patch Tuesday Recorde com Quase Mil Correções de Segurança", com 974 correções e duas zero-days de escalonamento de privilégios exploradas. É justamente uma das classes que a análise nova mostra como sobrerrepresentada entre as exploradas. Em 13 de fevereiro de 2026, o CEVIU já havia publicado "Microsoft diz que hackers estão explorando falhas zero-day críticas para atacar usuários de Windows e Office", com RCE de um clique e bypass do SmartScreen, ambos dentro das classes que a Microsoft descreve agora.

Em 23 de setembro de 2026, o CEVIU noticiou "Vulnerabilidades em IA: Anthropic e o Desafio da Exploração de CVEs", sobre 225 CVEs ligadas ao Project Glasswing, das quais a maioria permanece inexplorada. Isso é coerente com a taxa baixa de exploração, e a análise da Microsoft cita avanços de IA como fator de pressão sobre o tempo de resposta. Em 28 de agosto de 2026, "Ataques Coordenados Miram Infraestruturas de Borda com Vulnerabilidades Comuns" tratou de firewalls e VPNs, categoria de appliance que a Microsoft mostra como a mais lenta para corrigir.

Para quem opera gestão de vulnerabilidades, a leitura é que o volume de CVEs não deve ditar a fila. Priorizar por classe de impacto (RCE em serviço exposto, escalonamento de privilégios, bypass de autenticação) combinada com exposição do ativo tende a cobrir a maior parte do risco real. Onde o patch demora semanas ou meses, ou nem é possível, controles compensatórios e quebra de caminhos de ataque passam a ser parte da estratégia, não plano B.