Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Como o vencimento de um contrato quase levou ao colapso do ecossistema global de gerenciamento de vulnerabilidades
Era uma terça-feira típica nos centros de operações de segurança em todo o mundo. Os analistas monitoravam seus painéis do SIEM, os scanners de vulnerabilidades realizavam suas varreduras diárias e as equipes de resposta a incidentes classificavam o fluxo habitual de alertas — todos eles contando com um sistema de identificadores sobre o qual a maioria nem sequer se detém a pensar.
Então, a MITRE soltou uma bomba.
Em 15 de abril de 2025, o vice-presidente e diretor do Centro de Proteção Interna da MITRE enviou uma carta aos membros do Conselho do CVE que parecia a cena de abertura de um filme de catástrofe sobre segurança cibernética. A carta afirmava que na quarta-feira, 16 de abril — logo no dia seguinte — “o atual contrato que permite à MITRE desenvolver, operar e modernizar o CVE e vários outros programas relacionados, como o CWE, chegará ao fim”.
Para nós, que atuamos na linha de frente da segurança cibernética, isso não foi apenas mais uma questão de financiamento ou atualização de programa. Foi o equivalente digital a receber a notícia de que a fundação da sua casa desapareceria da noite para o dia.
A arquitetura silenciosa de nossa infraestrutura de segurança
Para compreender a magnitude do que quase aconteceu, é preciso entender a arquitetura invisível que torna possível a segurança cibernética moderna. Os identificadores de Vulnerabilidades e Exposições Comuns (CVE) são a linguagem universal do nosso setor — o sistema que, há 25 anos, permite que os profissionais de segurança em todo o mundo discutam as mesmas questões de segurança com precisão e clareza.
Todos os scanners de vulnerabilidades que você usa? Eles mapeiam os resultados para os CVEs.
Todos os sistemas de gerenciamento de patches? Organizados por CVEs.
Todas as fontes de inteligência sobre ameaças? Estruturadas com base nos CVEs.
Todos os alertas de segurança dos fornecedores? Classificados por CVEs.
Em essência, o CVE é a Pedra de Roseta da segurança cibernética — a camada de tradução que possibilita a comunicação sobre vulnerabilidades entre diferentes ferramentas, equipes, organizações e países.
Se esse sistema desaparecesse repentinamente, como foi ameaçado em 15 de abril, perderíamos nossa capacidade de compreender e nos comunicar coletivamente sobre os riscos de segurança. Imagine chegar ao trabalho e descobrir que, da noite para o dia, toda a sua cadeia de ferramentas de segurança havia perdido sua estrutura de referência comum. O dia seguinte seria bem diferente. Rastrear novas vulnerabilidades significaria rastrear a lista de vulnerabilidades de cada projeto individualmente, o que é, ao mesmo tempo, uma tarefa sisífica e absolutamente impossível, já que a maioria dos projetos nem mesmo rastreia vulnerabilidades em um formato utilizável. Não haveria uma fonte centralizada de informações confiáveis.
24 horas à beira do abismo
A cronologia dos acontecimentos que se seguiram é um forte lembrete de como nossa infraestrutura de segurança pode ser frágil:
15 de abril de 2025, pela manhã: A MITRE envia sua carta aos membros do Conselho do CVE, alertando sobre o vencimento do contrato no dia seguinte.
15 de abril de 2025, à tarde: A notícia começa a se espalhar pela comunidade de segurança cibernética, à medida que os membros do conselho avaliam as implicações.
16 de abril de 2025, pela manhã: Um grupo de membros de longa data do Conselho da CVE anuncia a criação da Fundação CVE – uma tentativa desesperada de criar um plano alternativo para a sobrevivência do programa.
16 de abril de 2025, no final da noite: A CISA anuncia que assinou uma prorrogação do contrato com a MITRE “para garantir que não haja interrupção nos serviços essenciais do CVE”.
Em menos de 24 horas, testemunhamos tanto o colapso potencial quanto o resgate de emergência de um sistema fundamental para a segurança cibernética global. Foi por um triz — muito mais por um triz do que a maioria dos profissionais de segurança imagina.
O que quase deu errado
Se a CISA não tivesse prorrogado o contrato na última hora, as consequências teriam sido imediatas e graves:
- A gestão de vulnerabilidades entraria em colapso: Sem a emissão de novos CVEs, não haveria uma maneira padronizada de identificar e rastrear vulnerabilidades recém-descobertas.
- As ferramentas de segurança perderiam eficácia: Os scanners de vulnerabilidades, os SIEMs e outras ferramentas de segurança dependem dos mapeamentos CVE para correlacionar os resultados e priorizar os problemas.
- O gerenciamento de patches se tornaria caótico: Sem os CVEs como pontos de referência, rastrear quais vulnerabilidades foram corrigidas em toda a empresa se tornaria exponencialmente mais difícil.
- A resposta a incidentes seria prejudicada: As equipes perderiam o quadro de referência comum utilizado para se comunicar sobre questões de segurança durante os incidentes.
- A inteligência contra ameaças ficaria fragmentada: A capacidade de compartilhar informações precisas sobre ameaças ativas entre as organizações se deterioraria.
Tudo isso ocorreria enquanto os agentes mal-intencionados — especialmente grupos como o Black Basta (recentemente expostos por meio de mensagens vazadas que discutiam a exploração de mais de 60 CVEs apenas no ano passado) — continuariam atuando de acordo com seus manuais de ação já estabelecidos, enfrentando defensores que, de repente, se veriam privados de sua linguagem comum sobre vulnerabilidades.
Não é uma solução, mas um adiamento da execução
Embora a crise imediata tenha sido evitada, o que recebemos não foi uma solução, mas sim um adiamento. A prorrogação do contrato da CISA tem duração de apenas 11 meses — essencialmente uma “suspensão da execução”, e não um perdão.
Essa medida temporária significa que as questões fundamentais sobre a sustentabilidade a longo prazo do Programa CVE continuam sem solução. Agora temos um prazo definido: 11 meses para garantir financiamento permanente ou realizar com sucesso a transição para um modelo alternativo de governança.
O sistema imperfeito que não podemos nos dar ao luxo de perder
O sistema CVE está longe de ser perfeito. Os críticos apresentam argumentos válidos sobre suas limitações:
- Às vezes, isso incentiva a denúncia de questões que mal podem ser consideradas problemas de segurança, obrigando os mantenedores a perder tempo resolvendo-as.
- O sistema de pontuação CVSS muitas vezes parece responder mais aos interesses corporativos do que a uma análise objetiva de risco.
- Temos observado uma enxurrada de novos CVEs nos últimos anos, especialmente depois que o Kernel do Linux se tornou um CNA e passou a classificar um grande volume de bugs como CVEs.
- O projeto básico reflete o panorama de segurança de 25 anos atrás, e não o ambiente complexo de hoje.
Mas, apesar de todas as suas falhas, o CVE continua sendo o único sistema universal de que dispomos. Não há nenhuma alternativa viável pronta para ser implementada. Não há nenhum sistema de reserva à espera nos bastidores. Não há nenhuma maneira realista de rastrear vulnerabilidades de forma independente em milhões de projetos diferentes sem uma única fonte de referência.
E se você não acredita em como isso é fundamental, considere um sistema menos impactante que está em uso atualmente: uma simples convenção de nomenclatura para diferentes agentes de ameaças. Como não temos um padrão equivalente ao sistema CVE para nomear agentes de ameaças, temos esquemas de nomenclatura ridículos e específicos de cada fornecedor: cores e fenômenos climáticos em um fornecedor, algo completamente diferente em outro, enquanto um terceiro usa números — no fim das contas, você precisa de um guia e de um dicionário apenas para entender se uma determinada atividade se refere ao mesmo agente de ameaças ao lidar com situações diferentes. Isso torna a coleta eficaz de informações desnecessariamente mais difícil e lenta, especialmente em situações em que uma intenção clara e a rapidez da resposta são essenciais. Se isso acontecesse com os CVEs, o impacto seria ordens de magnitude mais relevante.
A fragilidade oculta das infraestruturas essenciais
Esse incidente que quase resultou em um acidente revela algo preocupante sobre o ecossistema de segurança cibernética: muitos dos nossos recursos mais críticos repousam sobre bases surpreendentemente frágeis.
Durante 25 anos, a maioria dos profissionais de segurança nunca questionou se o sistema CVE continuaria a existir. Era uma infraestrutura tão fundamental que seu possível desaparecimento não era considerado um cenário realista — até que isso quase aconteceu.
Isso levanta questões incômodas: que outras infraestruturas críticas de segurança cibernética poderiam estar igualmente vulneráveis a interrupções repentinas? Que outros sistemas “importantes demais para falhar” poderiam estar a apenas um prazo de vencimento de contrato de entrar em colapso?
Seguindo em frente: a corrida contra o relógio de 11 meses
A criação da Fundação CVE representa um caminho possível a seguir — uma entidade sem fins lucrativos dedicada exclusivamente a dar continuidade à missão de fornecer identificação de vulnerabilidades de alta qualidade e de manter a integridade e a disponibilidade dos dados do CVE em todo o mundo.
Mas, faltando apenas 11 meses para que possamos vir a enfrentar essa mesma crise novamente, não podemos nos dar ao luxo de simplesmente esperar e torcer. Esse curto prazo exige uma ação imediata e coordenada em várias frentes:
- Estabelecer um modelo de governança sustentável que represente os interesses globais, e não apenas os de uma única nação. Esse modelo deve ser resiliente a mudanças políticas e incertezas de financiamento.
- Desenvolver mecanismos práticos de substituição para a identificação, catalogação e divulgação global de vulnerabilidades – mecanismos que possam operar sem depender de um único ponto de falha.
- Adaptar toda a nossa cadeia de ferramentas para obter informações sobre vulnerabilidades de várias fontes alternativas. Todos os scanners, SIEMs, plataformas de inteligência contra ameaças e ferramentas de segurança existentes podem precisar de atualizações para se adequarem a uma nova abordagem.
Trata-se de um empreendimento monumental que seria desafiador mesmo com anos para ser implementado — tentar realizá-lo em apenas 11 meses parece quase impossível. No entanto, como esse incidente demonstra claramente, manter o status quo não é uma alternativa viável.
A dura realidade é que nenhum sistema tão crítico deveria permanecer sob o controle de uma única entidade — seja ela um órgão governamental, uma empresa ou uma organização sem fins lucrativos. O modelo atual de governança provou ser fundamentalmente inseguro, independentemente de quem detenha o controle.
Um alerta: o CVE é apenas o começo
As 24 horas durante as quais quase perdemos os alicerces da gestão moderna de vulnerabilidades devem servir como um alerta. Mas seria um erro perigoso pensar que o CVE é um caso isolado.
O sistema CVE foi apenas a vítima “do momento”. Outros sistemas críticos da infraestrutura da internet sofrem de vulnerabilidades de governança idênticas. Considere os servidores raiz do DNS — outro sistema do qual depende todo o mundo digital, mas que, teoricamente, poderia enfrentar ameaças existenciais semelhantes nas circunstâncias certas (ou erradas). O mesmo poderia ser dito sobre autoridades certificadoras, servidores de tempo, infraestrutura de roteamento e outros sistemas fundamentais nos quais raramente pensamos até que estejam em risco.
Como profissionais de segurança, identificamos diligentemente pontos únicos de falha nos sistemas que protegemos diariamente. No entanto, de alguma forma, permitimos que a própria infraestrutura que possibilita nossa profissão desenvolvesse dependências graves e vulnerabilidades de governança.
A contagem regressiva de 11 meses está em andamento – não apenas para o CVE, mas como um alerta de que precisamos repensar os frágeis alicerces do nosso ecossistema digital. Devemos aproveitar esse respiro para construir modelos de governança mais resilientes para toda a infraestrutura crítica de segurança cibernética, distribuindo o controle e eliminando pontos únicos de falha antes que nos vejamos diante de mais uma crise existencial – possivelmente com muito menos aviso prévio da próxima vez.
A escolha é clara: transformar agora a forma como governamos e gerenciamos esses sistemas fundamentais ou continuar cambaleando de crise em crise, sempre a um passo do caos digital, bastando que um contrato seja rescindido.
