--- title: "CVE vs KEV: porque é que os números de crescimento das vulnerabilidades não contam a história toda | Guardian360" description: "Todos os anos, o mundo da cibersegurança publica mais vulnerabilidades do que nunca. A base de dados CVE continua a crescer a um ritmo impressionante, e os scanners de vulnerabilidades…" url: https://guardian360.net/pt/blog/cve-vs-kev-why-vulnerability-growth-numbers-dont-tell-the-whole-story/ locale: en source: guardian360.net --- [← Todos os artigos](https://guardian360.net/pt/blog/) Notícias # CVE vs KEV: porque é que os números de crescimento das vulnerabilidades não contam a história toda Por Guardian360 · 27 de janeiro de 2026 Todos os anos, o mundo da cibersegurança publica mais vulnerabilidades do que nunca. A **base de dados CVE** continua a crescer a um ritmo impressionante, e os scanners de vulnerabilidades sinalizam diligentemente milhares de resultados em dashboards por todo o mundo. Ao mesmo tempo, uma lista muito mais pequena, o catálogo de **Known Exploited Vulnerabilities (KEV)**, cresce muito mais devagar. Isto levanta uma questão importante para as equipas de segurança e para os decisores: *Se os CVE explodem em número todos os anos, porque é que o KEV não segue a mesma curva? E, mais importante: em qual deles é que as organizações devem realmente concentrar-se?* ![Yearly-Growth-of-CVEs-vs-Known-Exploited-Vulnerabilities-(KEV)](https://guardian360.eu/wp-content/uploads/2026/01/Yearly-Growth-of-CVEs-vs-Known-Exploited-Vulnerabilities-KEV-300x226.jpg) *Este gráfico ilustra as curvas de crescimento divergentes da base de dados CVE e do catálogo Known Exploited Vulnerabilities (KEV) entre 2021 e 2025. Enquanto o volume de CVE cresce rapidamente devido à escala de divulgação e à automação, o KEV cresce lentamente, como um conjunto selecionado de vulnerabilidades que são ativamente exploradas no terreno. Esta diferença sublinha porque é que a priorização baseada no risco importa mais do que as contagens brutas de vulnerabilidades.* **O crescimento dos CVE reflete a divulgação, não o perigo** O sistema **Common Vulnerabilities and Exposures (CVE)** nunca foi concebido para medir o risco no mundo real. O seu propósito é a transparência. Assim que uma vulnerabilidade é divulgada de forma responsável e validada, pode receber um identificador CVE, independentemente de os atacantes alguma vez demonstrarem interesse por ela. Essa opção de conceção explica a curva de crescimento acentuada. Nos últimos anos, o número de novos CVE publicados subiu de cerca de **20.000 em 2021** para **mais de 31.000 em 2024**, e **2025 continua essa aceleração com mais de 33.000 CVE publicados**. Isto significa que o panorama global de vulnerabilidades se expande agora em **cerca de noventa novos CVE por dia**, a maioria dos quais divulgados muito antes de alguém saber se os atacantes alguma vez demonstrarão interesse. O crescimento contínuo em 2025 deve-se em grande parte a **uma maior automação na descoberta de vulnerabilidades, a um número crescente de CVE Numbering Authorities (CNAs) e a uma maior visibilidade sobre o software de cadeia de fornecimento e cloud-native**, e não a um súbito surto de técnicas de ataque genuinamente novas. O ecossistema CVE, coordenado pelo **CVE Program (**[**https://nvd.nist.gov/general/cve-process**](https://nvd.nist.gov/general/cve-process)**)**, faz um excelente trabalho a catalogar *tudo o que poderia estar errado*. Mas essa exaustividade tem um custo: volume sem priorização. Para as organizações, isto traduz-se muitas vezes em longos backlogs de vulnerabilidades, ciclos de patching intermináveis e dashboards cheios de resultados “críticos” que podem nunca vir a ser explorados. **O KEV cresce devagar porque os atacantes são seletivos** O catálogo **Known Exploited Vulnerabilities (KEV)** existe por uma razão muito diferente. Mantido pela **CISA (**[**https://www.cisa.gov/**](https://www.cisa.gov/)**)**, o KEV inclui apenas vulnerabilidades que são **ativamente exploradas no terreno** e sustentadas por evidências credíveis. O crescimento do catálogo Known Exploited Vulnerabilities conta uma história muito diferente. Desde a sua introdução em 2021, o KEV expandiu-se de cerca de **300 entradas** para cerca de **1.200 no final de 2024**. Em **2025**, o catálogo cresceu ainda mais, para aproximadamente **1.350 vulnerabilidades exploradas conhecidas**. Comparado com as dezenas de milhares de CVE publicados no mesmo período, o KEV continua a representar **bem menos de dois por cento** do panorama total de vulnerabilidades, mas capta uma fatia desproporcionadamente grande da atividade de ataque no mundo real. Este crescimento lento não é uma fraqueza. Reflete uma verdade fundamental sobre o cibercrime: os atacantes não perseguem todas as vulnerabilidades. Concentram-se no que é fiável, escalável e rentável. Assim que um exploit funciona, tende a ser reutilizado, por vezes durante anos. Por outras palavras, o KEV espelha o comportamento dos atacantes, não o volume de divulgação. **Porque é que um crescimento igual seria um sinal de alarme** Se o KEV crescesse à mesma velocidade que o CVE, isso indicaria, na verdade, um problema. Significaria ou que todas as vulnerabilidades são instantaneamente transformadas em arma (o que não é o caso), ou que o KEV tinha perdido o seu poder de filtragem. O CVE responde à pergunta *“O que existe?”* O KEV responde à pergunta muito mais urgente *“O que está a ser usado contra as organizações neste momento?”* Compreender essa distinção é crucial para a gestão de vulnerabilidades moderna. **A nossa visão: vulnerabilidades teóricas não são risco real** Na Guardian360, acreditamos que as organizações gastam demasiado tempo a perseguir **risco teórico**. A gestão de vulnerabilidades tradicional trata muitas vezes todos os CVE como iguais, apoiando-se fortemente nas pontuações CVSS e nas contagens brutas. Esta abordagem parece exaustiva no papel, mas na prática leva à fadiga de patching, ao uso ineficiente de recursos e a uma falsa sensação de controlo. Um CVE de gravidade elevada que nunca é explorado não representa o mesmo risco que uma vulnerabilidade de pontuação moderada que os atacantes estão a abusar ativamente. Ainda assim, muitas ferramentas continuam a priorizar a primeira em vez da segunda. É por isso que acreditamos firmemente que as organizações devem deslocar o seu foco de *“Quantas vulnerabilidades temos?”* para *“Que vulnerabilidades ameaçam de facto o nosso negócio?”* **Como o Guardian360 Lighthouse apoia a priorização baseada no risco** O **Guardian360 Lighthouse** foi construído em torno deste exato princípio. Em vez de sobrecarregar parceiros e clientes com listas intermináveis de vulnerabilidades, o Lighthouse está a evoluir para um **modelo de scan e priorização baseado no risco**. Ao combinar: - dados técnicos de vulnerabilidades (CVE), - informação sobre exploração (como o KEV), - e o contexto de negócio (relevância do ativo, exposição e impacto), o Lighthouse ajuda os parceiros a concentrar os esforços de correção onde mais importam. Isto alinha-se naturalmente com enquadramentos modernos como a ISO 27001 e a NIS2, que sublinham cada vez mais a **tomada de decisões baseada no risco** em vez da conformidade por checklist. O objetivo não são menos scans, mas **melhores resultados**. **Ler corretamente as curvas de crescimento** A diferença visual entre as curvas de crescimento do CVE e do KEV conta uma história clara. Uma linha sobe abruptamente, impulsionada pela divulgação e pela transparência. A outra sobe lentamente, impulsionada por abusos confirmados no mundo real. Essa diferença não é algo a ser “resolvido”. É algo a ser **usado**. Porque reduzir o risco cibernético não tem que ver com corrigir tudo o que poderia correr mal, tem que ver com enfrentar o que *está* a correr mal. **Reflexão final** O CVE dá-nos visibilidade. O KEV dá-nos foco. E plataformas baseadas no risco como o Guardian360 Lighthouse existem para colmatar essa diferença, para que as organizações possam gastar menos tempo a reagir ao ruído e mais tempo a reduzir risco real e mensurável.