“Fomos afetados?” Você já tem a resposta.

Uma falha crítica surge pela manhã, está em todos os feeds e a pergunta chega antes do meio-dia. Na sua mesa, o alerta foi emitido antes da pergunta, porque o seu Monitoramento CVE apenas faixas as versões que você realmente executa, declaradas uma vez à mão, por SBOM ou a partir de um URL. Nove fluxos relidos em contínuo, entre eles o catálogo KEV da CISA e os alertas do CERT-FR. E a ordem de correção já está definida: exploração observada primeiro, probabilidade nos próximos 30 dias, gravidade por último.

Crie uma conta gratuita Veja como funciona

Processamento <30s 360 000 indexado CVEs Construído e hospedado na França

Plano Free, sem cartão de crédito Subprocessadores publicados Exporte seus dados a qualquer momento

Integrações

Slack Microsoft Teams Discord Email Notificações no aplicativo HTTP Webhooks REST API

Plataforma

Três relógios para manter. Um para ler.

Nove fluxos de vulnerabilidades alimentam os seus alertas: CVE List, NVD, o catálogo KEV da CISA, o EPSS, PoC-in-GitHub, GHSA, OSV, os avisos e alertas do CERT-FR e a base europeia EUVD. Doze fontes de vigilância editorial alimentam o seu resumo diário. Fica um só separador aberto; nós mantemos os outros abertos. Como um escopo de monitoramento CVE é construído.

01 · Detecção Digitalizando

Cada CVE analisado em sua pilha.

Sem barulho. Nosso motor compara suas tecnologias e suas versões, pelo identificador CPE (Common Platform Enumeration, o esquema de nomenclatura que identifica um produto e sua versão), contra 360 000 registros CVE indexados, identificadores reservados e rejeitados incluídos. Somente o que toca nos componentes declarados passa.

CVEs crítico afetando sua pilha de 1.842 publicações nos últimos 30 dias · relação de sinal 0,38%

Sua pilha · 51 componentes

php 8.1.28

nginx 1.24.0

postgresql 16.2

ubuntu 22.04

node 20.10

redis 7.2.3

elasticsearch 8.11

docker 24.0.7

kubernetes 1.28.4

openssl 3.2.1

mysql 8.0.35

apache 2.4.58

+ mais 39

7 partidas críticas

9.8 CVE-2026-1847 KEV

OpenSSL: RCE via análise de certificado

Exploração pública · correção disponível

9.1 CVE-2026-1801 KEV

Apache 2.4: SSRF em mod_proxy

Explorado ativamente · correção disponível

8.1 CVE-2026-1798

PostgreSQL 16: escalonamento de privilégios

EPSS 0.82 · correção disponível

7.8 CVE-2026-1712

nginx 1.24: estouro de buffer HTTP/3

Mitigação: desabilitar HTTP/3

7.5 CVE-2026-1689

Node.js 20: poluição do protótipo

EPSS 0.44 · correção disponível

02 · Antecipação endoflife.date

Nenhuma data de fim do suporte o surpreende.

Alertas em D-90, D-30 e D-7 para cada componente da sua pilha.

dias

PHP 8.1

Fim do suporte de segurança

31 de dezembro de 2026

D-94CentOS 7SO do servidor

D-218Ubuntu 20.04LTS padrão

D-412Node 18 LTSRuntime

D-548MySQL 5.7Banco de dados

03 · Resumo Todas as manhãs às 8:00

Um resumo diário, não uma inundação de RSS.

Chamamos isso de breve Patchwork: um e-mail às 8h resumindo o que nossas 12 fontes editoriais publicaram no dia anterior, filtrado em sua pilha. Dois minutos de leitura em vez de doze guias.

Patchwork · seu briefing diário

Seu briefing para terça-feira, 14 de abril

3 CVEs críticos na sua pilha

PHP 8.1: fim do suporte em 62 dias

CERT-FR relata 2 campanhas ativas

Fortinet publica 3 avisos principais

5 patches menores disponíveis

2 minutos de leitura Exemplo de resumo

Um dia na vida de um CVE

Da publicação para o seu canal: menos de 30 segundos de processamento.

Dois atrasos, não confundir. O sincronização: relemos a Lista CVE, KEV e EPSS continuamente, em ciclos de alguns minutos. O processamento: assim que o CVE for visto, combiná-lo com sua pilha, priorizá-lo e notificá-lo leva menos de 30 segundos. Ninguém pode ser mais rápido do que o seu próprio intervalo de votação; preferimos escrevê-lo.

T+0

Publicação CVE

Detetado durante um ciclo de sincronização na CVE List v5, no catálogo KEV da CISA ou no EPSS da FIRST.org.

T+15s

Combinando com sua pilha

Correspondência de fornecedor/produto/versão CPE com os componentes que você declarou e, em seguida, um filtro de gravidade mínima.

T+20s

Priorização

Três sinais, nesta ordem: o CVE já está sendo explorado (KEV)? qual a probabilidade de exploração em 30 dias (EPSS)? quanto dano se isso acontecer (CVSS)?

T+30s

Notificação multicanal

Slack, Teams, e-mail, webhook. Fluxo de trabalho: PENDING → ANALYZING → FIXING → RESOLVED.

Fluxos de trabalho

O que você refaz em cada alerta, escreva uma vez.

Escolha um gatilho, adicione suas condições, programe suas ações. Do CVE detectado à equipe notificada, automaticamente, sem escrever uma linha de código.

Editor visual

Do gatilho à ação, em uma tela.

Crie suas automações em uma tela: cada fluxo de trabalho começa em um evento, é filtrado por condições e, em seguida, executa ações em seus canais.

✓CVE, EOL e gatilhos de certificado novo CVE, atualização, PoC, KEV, fim do suporte…
✓Condições combináveis gravidade, CVSS, EPSS, KEV, produto, fornecedor
✓Ações multicanais Slack, Teams, e-mail, webhook, caso
✓Teste a seco simular em um CVE real antes de ativar

Fluxo de trabalho · Alertas críticos

Novo CVE na sua pilhatrigger.cve_new_match Gatilho

Pontuação CVSS ≥ 9,0condition.cvss Condição

Listado no catálogo KEVcondition.is_kev Condição

Notificar Slack/Teamsaction.fire_webhooks Ação

Crie um casoaction.create_case Ação

Assistente de IA

Projeto: Núcleo de produção

Como posso ajudar?

Conheço a pilha, os alertas e o acompanhamento do fim do suporte do seu projeto atual.

Qual é o CVE mais sério da minha propriedade?

Qual dos alertas desta semana devo tratar primeiro?

Quais produtos chegam ao fim do suporte neste trimestre?

Suas conversas permanecem em seu espaço de trabalho. O Vigie visualiza apenas os dados técnicos do projeto selecionado.

Você

Qual é o CVE mais sério da minha propriedade?

Assistente de IA

CVE-2026-1847 é a prioridade em sua propriedade agora: CVSS 9.8, exploração confirmada.

Por que vem primeiro

Adicionado ao catálogo KEV em 12 de março: ele é explorado em estado selvagem, e não apenas classificado como severo.

EPSS com 97%, a pontuação mais alta entre suas 214 vulnerabilidades abertas.

12 de seus servidores são executados OpenSSL 3.2.1; a versão fixa é 3.2.2.

O fornecedor publicou a correção. Posso preparar o acompanhamento da remediação; nada é aplicado sem a sua aprovação.

CVE-2026-1847 Crítico 12 de março de 2026 KEV Público PoC

OpenSSL · OpenSSL 3.2.1

Estouro de buffer no tratamento de extensões TLS, permitindo execução remota de código não autenticado.

CVSS 9.8EPSS 97 %12 ativos

Faça uma pergunta sobre seu patrimônio

As respostas podem conter erros. Verifique qualquer coisa importante.

Assistente de IA

247 CVEs publicado desde ontem à noite. Vigie aponta para você um.

Uma pergunta em linguagem simples, uma resposta sobre o SEU inventário: suas versões, seus alertas, seus prazos de fim de suporte. O tom de um analista, no máximo 250 palavras, e cada CVE que ele cita são verificados no banco de dados antes de serem mostrados.

Compreende suas vulnerabilidadesExplica cada CVE (CVSS, EPSS, KEV, PoC) e o que corrigir primeiro.

Conhece o seu contextoLê sua pilha, seus alertas, seus prazos de EOL e os feeds das fontes que você segue.

Não inventa nadaCada identificador citado é lido do banco de dados: se não existir, nenhum cartão será mostrado.

Propõe, você aprovaAtualizando uma versão, acompanhando o fim do suporte: o Vigie prepara a ação, você confirma com um clique.

Construído e hospedado na França · entenda o EPSS em cinco minutos

Entenda

Quatro conceitos, vinte minutos. O suficiente para defender uma chamada prioritária numa reunião.

Você não vende uma ferramenta de priorização para alguém a quem nunca explicou a priorização. Esses quatro guias são lidos nesta ordem; eles são gratuitos, não exigem inscrição e não contêm uma palavra de cópia de vendas.

1. O CVE, o identificador

O que exatamente é designado por CVE-2021-44228, quem atribui esse número e por que duas ferramentas podem descrever a mesma falha de maneira diferente.

O que um CVE realmente é

2. CVSS, a gravidade

Como ler um vetor campo por campo e por que 9.8 não é uma instrução prioritária, mas uma medida de dano potencial.

Como ler um vetor CVSS

3. EPSS, a probabilidade

O que significa uma pontuação de 0,92, por que é recalculada todas as manhãs e o que enfaticamente não prevê.

Como o EPSS estima o risco

4. KEV, o fato observado

O catálogo do CISA nada prevê: ele lista falhas cuja exploração foi observada. É o sinal mais difícil dos quatro.

O que o catálogo KEV exige

API v1 · Planos Pro e Business

CVE RESTO API: o monitoramento desce para o seu pipeline de entrega.

Vinte endpoints REST documentados: leia seus alertas, consulte o banco de dados CVE, visualize seu inventário, bloqueie uma implantação quando um CVE crítico não tiver sido tratado. O API está incluído nos planos Pro e Business. Autenticação de portador, cotas por plano, exemplos em curl, Python, JavaScript e GitHub Actions.

Conecte o TechWatchAlert ao seu pipeline de entrega.

Busque seus alertas, consulte o banco de dados CVE, leia sua lista de observação, casos e estatísticas. Todo o seu monitoramento está disponível somente leitura por meio do API (GET), para bloquear uma implantação em um CVE crítico.

✓Autorização do portador chaves revogáveis, formato twa_…
✓Somente leitura (GET) 5.000 chamadas por hora no Pro, sem cota horária no Business
✓Documentos Starlight exemplos de curl, Python, JS, GitHub Actions
✓Webhooks de saída Assinaturas HMAC, novas tentativas exponenciais

Comece em três etapas Referência API

cURL
Python
JavaScript
GitHub Actions
Copiar
# Buscar alertas críticos de um projeto
curl "https://app.techwatchalert.com/api/v1/organizations/org_x7y8/projects/prj_a1b2/alerts?severity=critical&status=pending" \
  -H "Authorization: Bearer twa_xK9...f2q" \
  -H "Accept: application/json"

Resposta #
{
  "items": [{
    "cve_id": "CVE-2026-1847",
    "severity": "CRITICAL",
    "cvss_score": 9.8,
    "epss_percentile": 0.97,
    "is_kev": true,
    "has_poc": true,
    "status": "PENDING"
  }],
  "total": 3, "page": 1
}
import httpx

client = httpx.Client(
    base_url="https://app.techwatchalert.com/api/v1",
    headers={"Authorization": f"Bearer {API_KEY}"}
)

# Lista a pilha monitorada de um projeto
r = client.get(
    f"/organizations/{org_id}/projects/{project_id}/stack"
)

for tech in r.json()["items"]:
    print(f"{tech['vendor']}/{tech['product']}")
// Pesquisa CVEs por fornecedor + gravidade
const res = await fetch(
  'https://app.techwatchalert.com/api/v1/cves?' +
  new URLSearchParams({
    vendor: 'nginx',
    severity: 'critical,high',
    is_kev: true
  }),
  {
    headers: {
      'Authorization': `Bearer ${apiKey}`
    }
  }
);

const { items, total } = await res.json();
console.log(`${total} vulnerabilidades ativas no nginx`);
# .github/workflows/security-gate.yml
name: Security Gate

on: [push, pull_request]

jobs:
  check-cves:
    runs-on: ubuntu-latest
    steps:
      - name: Block on critical CVEs
        run: |
          COUNT=$(curl -s \
            -H "Authorization: Bearer ${{ secrets.TWA_KEY }}" \
            "$TWA_URL/organizations/$ORG/projects/$PRJ/alerts?severity=critical&status=pending" \
            | jq '.total')
          if [ "$COUNT" -gt "0" ]; then
            echo "❌ $COUNT CVE(s) críticos não resolvidos"
            exit 1
          fi

360K

registros CVE indexados, todo o programa desde 1999, identificadores reservados e rejeitados incluídos

os feeds de vulnerabilidade são verificados entre si, porque nenhum é completo por si só

fontes editoriais para o resumo diário. Eles nunca acionam um alerta

100%

da infraestrutura na França: aplicação, banco de dados CVE e seus inventários

Preços

Preços de monitoramento de segurança cibernética: simples, transparente, sem surpresas.

Quatro planos, desde o relógio de uma pessoa até a equipe que tem que provar o que conserta. Os alertas CVE nunca são cobrados por volume: o que muda é o número de componentes rastreados, o tamanho da equipe e os recursos. Os preços não incluem IVA, que é adicionado na finalização da compra com base no seu país. Veja a tabela de preços completa.

Free

0 € sem limite de tempo

Para começar. Um projeto monitorado, sem cartão de crédito.

Comece de graça

✓1 projeto
✓3 componentes rastreados
✓1 webhook de alertas
✓1 aplicação SBOM
✓5 rastreamentos de fim de vida
✓Alertas por e-mail
✓Breve observação diária

Team

49 € excluindo. imposto / mês

Observação de vulnerabilidade para equipes. Classifique os alertas juntos e mantenha um registro.

Escolha Team →

✓5 projetos · 10 membros
✓200 componentes rastreados
✓Casos de remediação Jira, GitLab, ingressos GitHub
✓Relatórios PDF 12 meses de história
✓Slack, Teams, webhooks assinados

Pro Recomendado

99 € excluindo. imposto / mês

Assista + evidência NIS2. Mostre como você lida com suas vulnerabilidades.

Escolha Pro →

✓Tudo em Team, sem limite de projetos ou membros
✓Módulo NIS2 prazos de remediação, riscos aceitos, incidentes, relatório de gestão
✓Conectores de inventário GLPI e Intune
✓REST API v1 5.000 chamadas por hora
✓Registro de auditoria guardado por 1 ano

Business

de 249 € excluindo. imposto / mês

SSO, auditoria, compras. Além disso, na cotação.

Escolha Business →

✓Tudo em Pro, mais:
✓Logon único do OIDC com domínios verificados
✓Registro de auditoria guardado por 5 anos
✓Integração guiada suporte prioritário por e-mail
✓Pedido de compra assinado DPA, Chorus Pro mediante solicitação

Sem compromisso, mude de plano a qualquer momento, rateado na troca. Os preços não incluem IVA. Provedor de serviços gerenciados? O plano Partner é cobrado por cliente. Antes de escolher, comparar: cinco ferramentas concorrentes, nossos critérios, nossas datas de verificação.

Comparar

Seis ferramentas, os mesmos critérios para todas. É aqui que saímos na frente.

OpenCVE precisa de um servidor. Precisamos de um endereço de e-mail.

É um software para implantar, atualizar e monitorar. Custamos o que essa auto-hospedagem realmente exige, incluindo horas de engenharia.

A comparação OpenCVE, com números

Cyberwatch verifica a rede. Começamos pelo seu inventário.

Um scanner ativo significa um agente para instalar, acesso à rede para obter e uma janela de digitalização para negociar. Aqui você declara seus componentes e o primeiro alerta sai na próxima sincronização.

A comparação do Cyberwatch

No CVEDetails, você pesquisa. Aqui, o alerta encontra você.

Um banco de dados de pesquisa aguarda sua consulta, em inglês. Começamos pelas suas versões declaradas e escrevemos para você, no seu idioma, quando uma delas é atingida.

A comparação CVEDetails

Todas as seis ferramentas lado a lado, critérios idênticos

Direcionamento de pilha, priorização, atualização de dados, preços reais, hospedagem. Método e data de verificação mostrados, incluindo onde um concorrente sai na nossa frente.

A comparação completa de 2026

Segurança e soberania

Seu inventário é um mapa do seu sistema de informação. Nós o guardamos como um só.

Quem executa o quê, em qual versão, com quais falhas ainda estão abertas: essa é a primeira coisa que um invasor tenta reconstruir. Hospedagem na França, criptografia AES-256 em repouso, TLS 1.3 em trânsito, autenticação de dois fatores, registro de auditoria de ações confidenciais. Os detalhes, incluindo subprocessadores, estão em nosso Página de segurança.

Autenticação de dois fatores TOTP

Autenticador Google, Authy, 1Password, compatível com RFC 6238.

Criptografia AES-256

Em repouso e TLS 1.3 em trânsito. JWT + token de atualização de curta duração no Redis.

Hospedado na França

Aplicativo, banco de dados CVE e inventários na região de Paris, com OVHcloud. Nossos subprocessadores e suas proteções são publicados na página Segurança.

Registro de auditoria

Ações confidenciais registradas: ator, entidade, detalhes JSON, carimbo de data/hora.

Limitação de taxa nativa

10 tentativas/60s por IP. Alertas automáticos se for detectada força bruta.

Rede isolada

Serviços de dados em uma rede privada. Apenas o frontend e o API são expostos por HTTPS.

DPA disponível

Contrato de processamento de dados (DPA) a pedido a partir de Team, assinado com Business. Exportação completa dos seus dados a qualquer momento, sem nos consultar.

Disponibilidade: meta de 99,5%

Meta mensal escrita no Termos de uso, artigo 11.1. É uma meta publicada, não um compromisso respaldado por penalidades.

FAQ

As perguntas que continuam surgindo.

Se o seu não estiver aqui, pergunte-nos: respondemos em até 24 horas úteis.

Como você sabe qual CVEs me preocupa?

Você declara seus componentes (sistemas operacionais, dispositivos, estruturas, bibliotecas) manualmente, importando um CycloneDX ou SPDX SBOM ou detectando um URL público. Cada CVE publicado é comparado com esse inventário pelo identificador CPE (fornecedor, produto, versão). Um CVE que não toca em nenhum dos seus componentes nunca é enviado para você.

Quão rápido me disseram?

Dois atrasos, não confundir. Relemos os feeds continuamente, em ciclos de alguns minutos: isso é sincronização. Depois que o CVE é visto, a correspondência, a priorização e a notificação levam menos de 30 segundos: isso é processamento. Ninguém pode ser mais rápido do que o seu próprio intervalo de votação, e preferimos escrever isso do que publicar um número que a nossa própria documentação contradiz.

Quais fontes alimentam seus alertas?

Nove fluxos de vulnerabilidades: CVE List, NVD, o catálogo KEV da CISA (Known Exploited Vulnerabilities, falhas cuja exploração foi observada), o EPSS da FIRST.org, PoC-in-GitHub, GHSA, OSV, os avisos e alertas do CERT-FR e a base europeia EUVD da ENISA. À parte, doze fontes de vigilância editorial (o feed do CERT-FR, blogues de editores, imprensa especializada) alimentam o resumo diário. Não disparam qualquer alerta. O detalhe está na página das fontes de dados.

Um CVSS 9.8 deve ser corrigido antes de um 7.5?

Não necessariamente, e esta é a armadilha mais comum. O CVSS mede o dano potencial, não a probabilidade de ataque. Os CVEs mais críticos nunca são explorados. Analisamos primeiro se o CVE está no catálogo KEV (exploração observada), depois sua pontuação EPSS (probabilidade de exploração em 30 dias) e só então no CVSS.

Os dados do meu inventário são confidenciais?

Seu inventário tem exatamente um propósito: filtrar o feed CVE. Não é revendido, não é usado para treinar um modelo, nem é compartilhado com terceiros. Hospedagem na região de Paris, criptografia AES-256 em repouso, TLS 1.3 em trânsito. Os nossos subprocessadores, três dos quais estão estabelecidos fora da União Europeia, estão listados com as suas salvaguardas na página Segurança. Um acordo de processamento de dados (DPA) pode ser assinado mediante solicitação.

Posso tentar sem cartão de crédito?

Sim. O plano Free não pede meio de pagamento: basta um endereço de e-mail. Inclui 3 elementos de stack, 1 webhook de alertas, 1 aplicação SBOM, com notificação por e-mail. Chega para ver se a filtragem cumpre o que promete na sua stack.

O que está incluído no API?

O API está incluído nos planos Pro e Business: alertas, banco de dados CVE, inventário, casos, estatísticas, somente leitura (endpoints GET). O Pro permite 5.000 chamadas por hora, o Business não tem cota horária. Autenticação do portador com chaves revogáveis. A partir do plano Team, os alertas também podem ir para webhooks Slack, Teams e assinados por HMAC.

E se eu quiser ir embora?

Você pode exportar seus dados a qualquer momento, sem nos perguntar e sem nenhum custo: inventário, alertas, casos, registro de auditoria. As mudanças no plano funcionam nos dois sentidos, rateadas. Nada é excluído quando você desce um plano: apenas os recursos do plano superior deixam de estar disponíveis.

Plano Free, sem cartão de crédito

O próximo CVE que lhe interessa é aquele que você receberá.

Dois minutos para declarar seus componentes. Depois disso, lemos os outros quarenta mil.

Hospedado na França · subprocessadores publicados · exporte seus dados a qualquer momento