O que é um CVE?

Duas imagens para torná-lo concreto

Primeiro, um CVE é um matrícula. Designa um veículo específico e apenas um. Não lhe diz quão rápido está indo, se está se movendo ou se já cruzou seu caminho. Duas testemunhas que citam a mesma placa falam necessariamente do mesmo veículo: é tudo o que garante, e já é muito.

Em segundo lugar, um CVE é um Número do caso de emergência. Você consegue na admissão, antes de qualquer diagnóstico: o número existe enquanto o arquivo ainda está vazio. Esse é exatamente o estado “reservado” de um CVE, e é por isso que um CVE pode aparecer em uma ferramenta quase sem informações – e então preencher nos dias seguintes.

Lembre-se da pergunta que um CVE responde: de que falha estamos falando? - não “é sério?”, não “estou sob ataque?”

Anatomia de um identificador: CVE-YYYY-NNNN

Um identificador CVE segue sempre a mesma estrutura:

Duas sutilezas que quase todo mundo sente falta:

• O ano reflete reserva do identificador, não a sua publicação. Um CVE reservado em dezembro de 2025 e divulgado em março de 2026 mantém o ano 2025. Portanto, classificar um feed por ano não tem nada a ver com classificar por tempo recente.
• O número de sequência tem pelo menos quatro dígitos e pode crescer mais. Nós passamos de CVE-2014-0160 para identificadores de seis dígitos para absorver o volume: uma classificação alfabética é interrompida onde uma classificação numérica é válida.

Quem atribui CVEs: o papel dos CNAs

Nenhuma autoridade central atribui identificadores. Esse trabalho pertence a organizações autorizadas chamadas CNA (Autoridades de numeração CVE), que os reserva e publica no seu âmbito. O programa conta mais de 400 em todo o mundo; a lista oficial, a única atualizada, é publicada por cve.org.

• O fornecedores (Microsoft, Apple, Google, Red Hat, Cisco…) são seus próprios CNA e publicam o CVEs para seus produtos.
• Existem também coordenadores — CERT/CC, CERTs nacionais — que abrangem software sem fornecedor CNA, especialmente código aberto.
• O MITRE é o CNA raiz e secretariado do programa; CISA, a agência de segurança cibernética dos EUA, financia-o.

Esse modelo descentralizado oferece cobertura e rapidez: quem conhece a falha a documenta melhor. Isso tem um custo, que é o assunto da próxima seção.

O que um registro CVE contém e o que geralmente falta

Um CVE publicado fornece, no mínimo:

• a descrição da vulnerabilidade;
• o produtos e versões afetados, idealmente como um identificador padronizado, CPE (Enumeração de plataforma comum, o esquema de nomenclatura que descreve o software de forma legível por máquina);
• o fraqueza atrás dele, classificado usando CWE;
• a pontuação de gravidade com base em CVSS, nem sempre disponível na publicação;
• e referências: avisos de segurança, patches, provas de conceito.

Quão completos são esses campos depende inteiramente do CNA que publica o registro. Desde fevereiro de 2024, o enriquecimento pelo NVD (pontuações e CPEs adicionados após o fato) desacelerou drasticamente, deixando um grande número de registros sem dados utilizáveis ​​da versão afetada. Um CVE sem um CPE nem um intervalo de versões não pode ser comparado com nenhum inventário, por nenhuma ferramenta: é invisível à correlação automatizada. Esta é a razão prática pela qual a verificação cruzada de vários fontes de dados tornou-se essencial e por que qualidade de um CNA vale a pena medir.

O ciclo de vida de um CVE

Um CVE não é imutável. Seu status muda, e essas mudanças geralmente são mais importantes do que sua publicação inicial.

No topo desses estados vêm dois transições que mudam tudo para priorização: ser adicionado ao Catálogo CISA KEV, o que significa que a exploração foi observada, e o aparecimento de um prova de conceito (PoC, em resumo: código publicado que demonstra o ataque), o que coloca a exploração ao alcance de qualquer pessoa. O monitoramento que rastreia apenas novas publicações falha em ambos.

CVE, CVSS, EPSS, KEV: não os misture

Esta é a confusão mais comum e custa muito tempo. Um CVE identifica; os outros três caracterizar a mesma falha de ângulos diferentes.

Uma falha vista em todas as quatro estruturas

Vamos pegar o Log4Shell e segui-lo de uma estrutura para outra. Este exercício torna a diferença mais clara do que qualquer definição.

Leia a última linha: entre publicação e exploração confirmada, apenas algumas horas passou. Para uma falha nesse perfil, a janela entre “descobrimos” e “estamos sob ataque” não é medida em semanas. Isso é algo que a pontuação do CVSS por si só nunca teria lhe contado.

Três CVEs que fizeram história

Sangramento cardíaco - CVE-2014-0160 (abril de 2014)

Uma falha do OpenSSL que permite que invasores leiam a memória de um servidor: chaves privadas, senhas, conteúdo de sessões. Um detalhe revelador: sua pontuação CVSS 3.1 é 7.5, “alto”, não “crítico” — porque permite apenas a leitura, sem modificar ou atrapalhar nada. No entanto, levou à reemissão de uma grande parte dos certificados da web. Prova de que a pontuação não mede o alcance.

Log4Shell — CVE-2021-44228 (dezembro de 2021)

Execução remota de código no Log4j, a biblioteca de registro encontrada em uma grande parte dos softwares Java corporativos. Avaliado com nota 10 em 10, explorado em massa poucas horas após a divulgação. Sua lição duradoura: a maioria das organizações afetadas não sabia que estavam usando o Log4j, porque ele surgiu como uma dependência de uma dependência.

Porta dos fundos dos utilitários XZ – CVE-2024-3094 (março de 2024)

Um backdoor deliberadamente plantado em uma ferramenta de compactação Linux, resultado de dois anos de paciência de um colaborador que se tornou mantenedor. Identificado por acaso por um desenvolvedor que notou uma conexão SSH anormalmente lenta, algumas semanas antes de o pacote atingir distribuições estáveis. Avaliado com 10 de 10. Mudou a questão de “meu código é seguro?” para “em quem meu código confia?”

Por que o volume do CVE está explodindo

Os números dos anos completos mais recentes: mais de 40.000 CVEs publicado em 2024, cerca de 28 800 em 2023, 25 000 em 2022. A curva não caiu um único ano desde 2016. Mais software, mais investigadores, mais CNAs autorizados: todos os três fatores empurram na mesma direção.

Vamos converter isso em tempo de trabalho. Quarenta mil CVEs distribuídos em cerca de 250 dias úteis chegam a 160 registros por dia. Aos quarenta e cinco segundos para ler um registro e decidir se ele lhe diz respeito, isso leva duas horas por dia útil — para uma taxa de relevância que, num parque de PME, fica muito abaixo de um por cento. Nenhuma equipa aguenta esse ritmo, e nenhuma deveria ter de o fazer.

O contador oficial do programa, atualizado continuamente, está publicado em cve.org/about/Metrics. Preferimos indicar-lhe esse ponto do que congelar aqui um número que estará desatualizado em seis meses.

O que isso significa para você, na prática

Aqui está o que uma equipe que parou de se afogar no feed faz na manhã de segunda-feira.

1. Anote o inventário. Fornecedor, produto, versão principal, para tudo o que é exposto ou contém dados. Vinte a quarenta linhas são suficientes para uma SMB. Sem esta lista, nenhuma filtragem é possível: é o único trabalho que você realmente não pode ignorar.
2. Filtre essa lista. Qualquer coisa que não corresponda a uma linha do inventário está fora do escopo. É aí que 99% do ruído desaparece.
3. Classifique o que sobrou, nesta ordem. No KEV → manusear dentro de 48 horas. Caso contrário, EPSS acima de 0,1 → esta semana. Caso contrário, CVSS desfaz o empate, e só então.
4. Observe as transições. Um CVE classificado como “baixo” na terça pode entrar no KEV na quinta. O que deve desencadear um alerta não é apenas uma publicação, é uma mudança de status.

Perguntas frequentes