CVE vs KEV: porque é que os números de crescimento das vulnerabilidades não contam a história toda

Todos os anos, o mundo da cibersegurança publica mais vulnerabilidades do que nunca. A base de dados CVE continua a crescer a um ritmo impressionante, e os scanners de vulnerabilidades sinalizam diligentemente milhares de resultados em dashboards por todo o mundo.

Ao mesmo tempo, uma lista muito mais pequena, o catálogo de Known Exploited Vulnerabilities (KEV), cresce muito mais devagar.

Isto levanta uma questão importante para as equipas de segurança e para os decisores:

Se os CVE explodem em número todos os anos, porque é que o KEV não segue a mesma curva? E, mais importante: em qual deles é que as organizações devem realmente concentrar-se?

Este gráfico ilustra as curvas de crescimento divergentes da base de dados CVE e do catálogo Known Exploited Vulnerabilities (KEV) entre 2021 e 2025. Enquanto o volume de CVE cresce rapidamente devido à escala de divulgação e à automação, o KEV cresce lentamente, como um conjunto selecionado de vulnerabilidades que são ativamente exploradas no terreno. Esta diferença sublinha porque é que a priorização baseada no risco importa mais do que as contagens brutas de vulnerabilidades.

O crescimento dos CVE reflete a divulgação, não o perigo

O sistema Common Vulnerabilities and Exposures (CVE) nunca foi concebido para medir o risco no mundo real. O seu propósito é a transparência. Assim que uma vulnerabilidade é divulgada de forma responsável e validada, pode receber um identificador CVE, independentemente de os atacantes alguma vez demonstrarem interesse por ela.

Essa opção de conceção explica a curva de crescimento acentuada. Nos últimos anos, o número de novos CVE publicados subiu de cerca de 20.000 em 2021 para mais de 31.000 em 2024, e 2025 continua essa aceleração com mais de 33.000 CVE publicados. Isto significa que o panorama global de vulnerabilidades se expande agora em cerca de noventa novos CVE por dia, a maioria dos quais divulgados muito antes de alguém saber se os atacantes alguma vez demonstrarão interesse.

O crescimento contínuo em 2025 deve-se em grande parte a uma maior automação na descoberta de vulnerabilidades, a um número crescente de CVE Numbering Authorities (CNAs) e a uma maior visibilidade sobre o software de cadeia de fornecimento e cloud-native, e não a um súbito surto de técnicas de ataque genuinamente novas.

O ecossistema CVE, coordenado pelo CVE Program (https://nvd.nist.gov/general/cve-process), faz um excelente trabalho a catalogar tudo o que poderia estar errado. Mas essa exaustividade tem um custo: volume sem priorização.

Para as organizações, isto traduz-se muitas vezes em longos backlogs de vulnerabilidades, ciclos de patching intermináveis e dashboards cheios de resultados “críticos” que podem nunca vir a ser explorados.

O KEV cresce devagar porque os atacantes são seletivos

O catálogo Known Exploited Vulnerabilities (KEV) existe por uma razão muito diferente. Mantido pela CISA (https://www.cisa.gov/), o KEV inclui apenas vulnerabilidades que são ativamente exploradas no terreno e sustentadas por evidências credíveis.

O crescimento do catálogo Known Exploited Vulnerabilities conta uma história muito diferente. Desde a sua introdução em 2021, o KEV expandiu-se de cerca de 300 entradas para cerca de 1.200 no final de 2024. Em 2025, o catálogo cresceu ainda mais, para aproximadamente 1.350 vulnerabilidades exploradas conhecidas. Comparado com as dezenas de milhares de CVE publicados no mesmo período, o KEV continua a representar bem menos de dois por cento do panorama total de vulnerabilidades, mas capta uma fatia desproporcionadamente grande da atividade de ataque no mundo real.

Este crescimento lento não é uma fraqueza. Reflete uma verdade fundamental sobre o cibercrime: os atacantes não perseguem todas as vulnerabilidades. Concentram-se no que é fiável, escalável e rentável. Assim que um exploit funciona, tende a ser reutilizado, por vezes durante anos.

Por outras palavras, o KEV espelha o comportamento dos atacantes, não o volume de divulgação.

Porque é que um crescimento igual seria um sinal de alarme

Se o KEV crescesse à mesma velocidade que o CVE, isso indicaria, na verdade, um problema. Significaria ou que todas as vulnerabilidades são instantaneamente transformadas em arma (o que não é o caso), ou que o KEV tinha perdido o seu poder de filtragem.

O CVE responde à pergunta “O que existe?”

O KEV responde à pergunta muito mais urgente “O que está a ser usado contra as organizações neste momento?”

Compreender essa distinção é crucial para a gestão de vulnerabilidades moderna.

A nossa visão: vulnerabilidades teóricas não são risco real

Na Guardian360, acreditamos que as organizações gastam demasiado tempo a perseguir risco teórico.

A gestão de vulnerabilidades tradicional trata muitas vezes todos os CVE como iguais, apoiando-se fortemente nas pontuações CVSS e nas contagens brutas. Esta abordagem parece exaustiva no papel, mas na prática leva à fadiga de patching, ao uso ineficiente de recursos e a uma falsa sensação de controlo.

Um CVE de gravidade elevada que nunca é explorado não representa o mesmo risco que uma vulnerabilidade de pontuação moderada que os atacantes estão a abusar ativamente. Ainda assim, muitas ferramentas continuam a priorizar a primeira em vez da segunda.

É por isso que acreditamos firmemente que as organizações devem deslocar o seu foco de “Quantas vulnerabilidades temos?” para “Que vulnerabilidades ameaçam de facto o nosso negócio?”

Como o Guardian360 Lighthouse apoia a priorização baseada no risco

O Guardian360 Lighthouse foi construído em torno deste exato princípio. Em vez de sobrecarregar parceiros e clientes com listas intermináveis de vulnerabilidades, o Lighthouse está a evoluir para um modelo de scan e priorização baseado no risco.

Ao combinar:

• dados técnicos de vulnerabilidades (CVE),
• informação sobre exploração (como o KEV),
• e o contexto de negócio (relevância do ativo, exposição e impacto),

o Lighthouse ajuda os parceiros a concentrar os esforços de correção onde mais importam. Isto alinha-se naturalmente com enquadramentos modernos como a ISO 27001 e a NIS2, que sublinham cada vez mais a tomada de decisões baseada no risco em vez da conformidade por checklist.

O objetivo não são menos scans, mas melhores resultados.

Ler corretamente as curvas de crescimento

A diferença visual entre as curvas de crescimento do CVE e do KEV conta uma história clara. Uma linha sobe abruptamente, impulsionada pela divulgação e pela transparência. A outra sobe lentamente, impulsionada por abusos confirmados no mundo real.

Essa diferença não é algo a ser “resolvido”. É algo a ser usado.

Porque reduzir o risco cibernético não tem que ver com corrigir tudo o que poderia correr mal, tem que ver com enfrentar o que está a correr mal.

Reflexão final

O CVE dá-nos visibilidade.

O KEV dá-nos foco.

E plataformas baseadas no risco como o Guardian360 Lighthouse existem para colmatar essa diferença, para que as organizações possam gastar menos tempo a reagir ao ruído e mais tempo a reduzir risco real e mensurável.