Duas fontes, contadas na mesma manhã

Às sete da noite de 27 de julho, a CISA publicou a versão 2026.07.27 do seu catálogo de vulnerabilidades conhecidas como exploradas. Entraram duas: uma falha no Fortinet FortiOS e uma injeção de comandos no VeloCloud Orchestrator da Arista. O catálogo ficou assim em 1.655 entradas, que é tudo o que a agência conseguiu confirmar como atacado desde que a lista abriu, em 2021.

Na manhã seguinte consultámos a outra fonte. A National Vulnerability Database, gerida pelo NIST, indica quantas vulnerabilidades têm data de publicação dentro de qualquer intervalo que se peça. Para 1 de janeiro a 28 de julho de 2026 a resposta é 45.601. Para o mesmo intervalo de 2025 são 28.032. Para 2024 eram 23.486.

Ambos os números são públicos, ambos são gratuitos, e quase ninguém os coloca lado a lado. Juntos dizem uma coisa que a cobertura desta semana falhou por completo.

Não está a duplicar

Comecemos pela afirmação que viajou mais longe. Desde segunda-feira circula o número de cerca de 45.000 falhas e a previsão de que o ano vai duplicar o anterior. A primeira metade está certa. A segunda não.

209 dias de 2026 produziram 45.601 vulnerabilidades publicadas. Mantendo o mesmo ritmo até 31 de dezembro chega-se perto de 79.600. O ano de 2025 inteiro ficou em 49.972. É um múltiplo de cerca de 1,6, e não de 2.

A distinção não é preciosismo, porque o número mais baixo continua a ser extraordinário. Uma subida de 60 por cento num único ano é a mais acentuada de toda a série, e 2026 já ultrapassou 91 por cento de tudo o que 2025 produziu, faltando ainda cinco meses. Insistir no valor exato conta, porque o valor inflacionado convida à reação errada. Duplicar soa a emergência que justifica duplicar uma equipa. 1,6 vezes soa ao que é: uma mudança estrutural na oferta que nenhuma contratação vai absorver.

A curva da exploração não acompanhou

Aqui está o número que devia governar a decisão. Das 45.601 vulnerabilidades publicadas este ano, 171 foram acrescentadas ao catálogo de exploração confirmada. Apenas cem entradas de todo o catálogo trazem sequer um identificador de 2026.

Faça a mesma conta do lado da exploração. 171 acrescentos em 209 dias dão um ritmo de cerca de 299 para o ano. A CISA acrescentou 245 em todo o ano de 2025. Ou seja, enquanto a publicação subiu 63 por cento, a exploração confirmada subiu à volta de um quinto.

As duas curvas separaram-se e a distância alarga todos os meses. Seja o que for que alimenta a vaga de publicações, e os fornecedores admitem com alguma franqueza que a descoberta automatizada pesa muito nela, está a gerar achados mais depressa do que alguém os transforma em ataques. O número publicado deixou de ser uma aproximação do trabalho que tem pela frente. Mede agora quanta investigação o setor consegue sustentar, que é outra pergunta com outra resposta.

Uma ressalva honesta, porque torna a instrução mais precisa em vez de a enfraquecer. A ausência do catálogo não prova que ninguém está a explorar alguma coisa. A lista regista aquilo que uma agência consegue confirmar, e a confirmação chega atrasada. Isso é um argumento para tratar a prova de exploração como o sinal mais sólido disponível, não para ler a sua ausência como uma absolvição.

O que a regulação pede de facto

Quase todas as políticas de vulnerabilidades escritas na Europa nos últimos três anos contêm uma frase desta forma: tudo o que chegue a 7,0 é corrigido em trinta dias. Quem escreveu essa frase em 2023 subscreveu uma carga de trabalho que desde então cresceu dois terços sem lhe pedir licença.

Vale a pena verificar de onde veio a frase, porque não veio do regulador. A NIS2 coloca o tratamento e a divulgação de vulnerabilidades entre as medidas de gestão de risco que uma entidade abrangida tem de aplicar, e prende toda a obrigação a ser proporcionada ao risco real. O texto não nomeia nenhum sistema de pontuação nem fixa qualquer limiar. O DORA faz o mesmo para as entidades financeiras: priorizar a correção pela criticidade do que está afetado, sem que nenhum valor fixo conste do texto.

O limiar foi, portanto, uma invenção da casa, adotada por ser auditável. Auditável continua a ser. Apenas deixou de ser comportável, e nenhum dos dois instrumentos alguma vez o pediu.

Reescrever a norma, não o quadro de pessoal

A mudança prática é pequena e cabe neste trimestre. Ponha a exploração confirmada à cabeça da fila, com um relógio medido em dias. Todo o resto mantém uma ordenação por gravidade mas perde o prazo automático e é tratado no ritmo normal de manutenção, sobre os sistemas que na sua casa realmente contam.

Dois apoios tornam isso defensável perante um auditor. Deixe por escrito que fonte externa trata como autorizada e porquê, para que a priorização seja um método documentado e não um juízo pessoal. E registe a decisão de exposição para os sistemas que adia, porque aquilo que um regulador pergunta depois de um incidente é se existia um processo fundamentado, não se cumpriu um número.

As equipas que vão sofrer nos próximos dezoito meses são aquelas cuja política é aritmeticamente impossível e cujos auditores ainda não deram por isso. A contagem vai continuar a subir. O conjunto do que está mesmo a ser usado contra si não sobe nem de perto ao mesmo ritmo, e é publicado todas as semanas sem custo nenhum.

Leia a seguir: A sua sandbox foi atacada um mês antes do aviso  |  Uma mensagem alcançou as chaves SSH