CVE, CVSS 10.0 e as siglas do noticiário: o guia de vulnerabilidades para quem não é de TI

Toda vez que estoura um grande vazamento ou ataque, aparece no noticiário uma sopa de letras e números: CVE-2021-44228, CVE-2026-64564, “falha CVSS 10.0”. Para quem não é da área, parece código de outro planeta. Mas por trás dessa sigla intimidante existe um dos conceitos mais importantes — e mais úteis — da segurança digital. Entender o que é um CVE é entender como o mundo inteiro combina, em tempo real, quais são os buracos por onde os criminosos entram. E, mais prático ainda: é entender por que a tarefa de segurança mais barata e mais ignorada da sua empresa continua sendo simples assim — manter as coisas atualizadas.

O que é um CVE, de verdade

CVE significa Common Vulnerabilities and Exposures — algo como “Vulnerabilidades e Exposições Comuns”. Na prática, é o RG de uma falha de segurança. Quando alguém descobre um problema num software — do Windows ao aplicativo de banco, do sistema de loja ao roteador da sua empresa — essa falha ganha um número único e mundial, no formato CVE-ANO-NÚMERO. A partir daí, todo mundo no planeta consegue falar da mesma falha sem confusão: o fabricante que vai corrigir, o pesquisador que descobriu, a empresa que precisa se proteger e, infelizmente, o criminoso que quer explorar.

O sistema é coordenado por uma organização americana sem fins lucrativos, a MITRE, com apoio do governo dos EUA, e existe desde 1999. Hoje são dezenas de milhares de CVEs novos por ano — em 2024, passaram de 40 mil. Cada um é um buraco catalogado na parede digital do mundo.

O “nível de perigo”: o que significa CVSS 10.0

Nem todo buraco é do mesmo tamanho. Para medir a gravidade, cada CVE recebe uma nota de 0 a 10, chamada CVSS. É como a escala Richter dos terremotos digitais:

• 0 a 3,9 (baixa): incômodo, exige condições difíceis para ser explorado.
• 4 a 6,9 (média): preocupante, merece correção planejada.
• 7 a 8,9 (alta): perigoso, corrija logo.
• 9 a 10 (crítica): largue tudo e corrija agora. Nota 10 costuma significar o pior cenário: um invasor consegue assumir o controle total do sistema pela internet, sem senha, sem depender de ninguém clicar em nada.

Quando você lê “Adobe corrige falha CVSS 10.0 no ColdFusion” — como aconteceu recentemente com o software que roda milhares de sites corporativos —, é disso que se trata: uma porta escancarada que precisa ser fechada antes que os robôs de varredura a encontrem. E eles encontram rápido: falhas críticas costumam começar a ser exploradas em massa poucas horas depois de anunciadas.

Três CVEs que contam a história toda

Log4Shell (CVE-2021-44228) — o pesadelo do Natal de 2021. Uma peça de software gratuita e invisível chamada Log4j, usada para uma tarefa banal (registrar mensagens do sistema), estava dentro de metade da internet corporativa sem que ninguém soubesse. Quando a falha — nota 10 — foi divulgada, empresas do mundo inteiro passaram o feriado respondendo à mesma pergunta desesperada: nós usamos isso? onde? Quem tinha o mapa dos próprios sistemas respondeu rápido; quem não tinha, descobriu junto com os atacantes. É o retrato perfeito de por que saber o que roda na sua infraestrutura é metade da defesa.

SCTPhantom (CVE-2026-64564) — a falha que dormiu 18 anos no Linux. Já contamos essa história aqui: um buraco escondido por quase duas décadas no sistema que roda a maioria dos servidores do mundo, encontrado com ajuda de inteligência artificial. A lição que ela reforça: uma falha antiga só vira risco real para quem não aplica a correção depois que ela sai. E a correção do SCTPhantom já saiu — a bola está com quem administra os servidores.

As 176 brechas da Samsung, a falha do Zoom, o chip SIM vulnerável. Só nas últimas semanas, o noticiário trouxe CVEs em produtos que estão no bolso e na mesa de todo mundo. Não porque essas empresas sejam relapsas — mas porque todo software tem falhas, e o sinal de maturidade não é não ter CVE: é corrigi-los rápido e avisar os clientes.

O que fazer com essa informação (e não precisa ser técnico)

A boa notícia: você não precisa entender o código da falha para se proteger dela. A defesa contra a imensa maioria dos CVEs é gestão, não engenharia:

1. Mantenha tudo atualizado — de propósito, não por acaso. Sistema operacional dos computadores, servidores, roteadores, aplicativos, sites. A correção de um CVE vem, na esmagadora maioria das vezes, dentro de uma atualização comum. Adiar atualização é deixar a porta destrancada depois de o fabricante ter entregado a chave.

2. Saiba o que você tem. Não dá para atualizar o que você não sabe que existe. Uma lista simples dos sistemas, servidores e serviços que a empresa usa — o “inventário” — é o que permite responder, num próximo Log4Shell, “sim, usamos, e já corrigimos”.

3. Defina um responsável e um prazo para falhas críticas. Quem acompanha os avisos de segurança dos fabricantes que vocês usam? Em quanto tempo uma falha nota 9-10 é corrigida? “Todo mundo e ninguém” é a resposta errada.

4. Cuidado redobrado com o que está exposto na internet. Site, sistema com acesso remoto, câmera, roteador — tudo que a internet enxerga é alvo prioritário de varredura automática. Esses são os primeiros da fila para atualização.

5. Pergunte aos seus fornecedores. O sistema de folha, o ERP, o site que uma agência fez — todos rodam software que tem CVEs. “Como e em quanto tempo vocês aplicam correções de segurança?” é uma pergunta legítima de se fazer a quem cuida da sua tecnologia.

Existe uma frase repetida entre profissionais de segurança: “não é a falha que você não conhece que costuma te derrubar — é a que já tinha correção disponível e ninguém aplicou”. A maioria dos ataques bem-sucedidos explora CVEs conhecidos e já corrigíveis. A defesa não é sofisticada. É disciplinada.

Traduzir CVE para o dia a dia é isso: cada um daqueles códigos assustadores no noticiário é, na prática, um lembrete de que a atualização que você vem adiando pode ser exatamente a que fecha a porta antes de alguém entrar por ela.

Fontes

• Programa CVE (MITRE) — catálogo oficial: cve.org
• Sistema de pontuação CVSS (FIRST): first.org/cvss
• Catálogo de vulnerabilidades ativamente exploradas (KEV), da agência americana CISA: cisa.gov/known-exploited-vulnerabilities-catalog
• Log4Shell (CVE-2021-44228): alertas públicos de CISA e fabricantes (dez/2021)
• Advisories oficiais dos fabricantes (Adobe, Samsung, Zoom)