O NIST escolhe o foco, mas esquece quem está verdadeiramente em risco

A nova abordagem do NIST para a NVD é um passo lógico para gerir a enxurrada de CVE. Mas ao dar prioridade ao software governamental, o setor privado arrisca-se a ficar sem a informação de que precisa.

263% CRESCIMENTO DA SUBMISSÃO DE CVE DE 2020 A 2025

42.000 CVE ENRIQUECIDOS EM 2025, AINDA INSUFICIENTE

1% DE TODOS OS CVE EFETIVAMENTE EXPLORADOS NA PRÁTICA

Devia ter acontecido há muito tempo. Após anos de uma maré crescente de divulgações de vulnerabilidades, um aumento de 263 por cento nas submissões de CVE entre 2020 e 2025, o National Institute of Standards and Technology deu finalmente um passo decisivo. A partir de 15 de abril de 2026, o NIST só irá enriquecer os CVE que cumpram critérios específicos de priorização: vulnerabilidades listadas no catálogo Known Exploited Vulnerabilities (KEV) da CISA, software utilizado dentro do governo federal dos EUA, e sistemas designados como críticos ao abrigo da Executive Order 14028. Todas as outras submissões continuarão a aparecer na National Vulnerability Database (NVD), mas serão rotuladas como "Not Scheduled" (Não agendado). Isto é linguagem burocrática para: não fiques à espera.

Enquanto profissional de segurança, percebo a lógica. O nosso setor sofre há muito com aquilo a que chamo "sobrecarga de sinal-ruído": uma avalanche de dados para analisar, cuja grande maioria não tem relevância direta para os sistemas que efetivamente protegemos. A investigação da VulnCheck mostrou que, das mais de 40.000 vulnerabilidades recém-publicadas e catalogadas no ano passado, apenas 1 por cento, ou seja, 422 CVE, foram ativamente explorados na prática. Concentrar no que verdadeiramente importa é, portanto, perfeitamente defensável.

"As vulnerabilidades estão a ser publicadas, mas não priorizadas. Isso não facilita a vida a quem defende."

E, ainda assim, há algo de errado. Bastante fundamentalmente.

O paradoxo da transparência sem contexto

O NIST optou por continuar a publicar todos os CVE, mas deixará de os enriquecer rotineiramente com pontuações CVSS, configurações de software afetado ou contexto adicional. O resultado é um meio-termo desconfortável: as vulnerabilidades são divulgadas, mas sem a orientação de que as equipas de segurança precisam para saber o que fazer com elas. Isto é transparência na sua forma mais oca.

Imagina um médico a dizer a um doente que algo está errado, mas a recusar dizer quão grave é, qual o órgão afetado ou como será o plano de tratamento. "Manda-nos um email se quiseres saber mais." É exatamente assim que isto se sente para as milhares de organizações que dependiam da NVD como a sua fonte principal e autoritativa para priorização de patches.

As pequenas e médias empresas, sem um centro de operações de segurança dedicado nem subscrições dispendiosas de threat intelligence, são as mais afetadas. Dependiam da NVD como uma âncora gratuita. Essa âncora acaba de se soltar.

Governo primeiro, e todos os outros?

O segundo problema toca numa diferença fundamental entre a realidade digital das entidades governamentais e a das empresas e dos particulares. As prioridades do NIST fazem sentido de uma perspetiva de segurança nacional: protege-se primeiro a infraestrutura crítica do Estado. Mas os ambientes de software de um prestador de cuidados de saúde, de uma empresa industrial ou de uma pequena empresa pouco se parecem com o panorama de TI do governo federal dos EUA.

Microsoft 365, Google Workspace, plataformas de CRM amplamente utilizadas, sistemas de controlo industrial na indústria, muitos destes não se enquadram na definição de "software crítico" tal como definida na Executive Order 14028. Uma vulnerabilidade numa aplicação cloud amplamente implementada e usada por PME poderia ficar intocada na categoria "Not Scheduled" durante meses, enquanto os atacantes já a exploram ativamente.

Michelangelo Sidagni, CTO na NopSec, resumiu-o bem: o NIST está, na prática, a delegar a priorização na CISA, mas o catálogo KEV da CISA é deliberadamente conservador. A análise comparativa mostra que o KEV lista atualmente 1.559 vulnerabilidades, enquanto a VulnDB acompanha mais de 7.000 com exploração conhecida. Milhares de falhas perigosas ficam, portanto, fora tanto do KEV como do novo processo de enriquecimento da NVD. Para um atacante, essa distinção é irrelevante.

O fim de uma única fonte de verdade

O contexto mais amplo aprofunda a preocupação. O CVE Programme gerido pela MITRE, o próprio alicerce sobre o qual a NVD é construída, escapou por pouco ao colapso no ano passado, quando o seu contrato de financiamento federal estava prestes a expirar. A CISA interveio no último momento, mas a fragilidade desta infraestrutura ficou à vista. Entretanto, a UE está a desenvolver a sua própria European Vulnerability Database (EUVD), embora ainda esteja numa fase inicial. E o crescimento explosivo da descoberta de vulnerabilidades impulsionada por IA, a FIRST prevê um recorde de 50.000 novos CVE em 2026, promete piorar consideravelmente as coisas.

A era de uma única fonte de verdade fiável e pública para informação de vulnerabilidades acabou definitivamente. As organizações que ainda não tinham percebido isto são agora confrontadas de frente com essa realidade.

O que tem de acontecer?

A crítica ao NIST é justificada, mas, realisticamente, a agência tinha poucas escolhas. Com as submissões a bater novos recordes a cada trimestre e a capacidade de análise fundamentalmente incapaz de acompanhar o ritmo, uma mudança de rumo era inevitável. A direção, priorizar com base no risco real, é, em princípio, a certa.

Mas a implementação precisa de ser afinada. Primeiro: os critérios de priorização estão demasiado centrados no contexto governamental. Uma definição mais ampla de "elevado impacto", que também tenha em conta a prevalência no software comercial, refletiria melhor a realidade do setor privado. Segundo: o modelo "manda-nos um email se quiseres enriquecimento" não é escalável e cria desigualdade. As organizações maiores sabem como e onde defender o seu caso; as mais pequenas não.

Terceiro, e talvez o mais urgente: o setor tem de deixar de depender de uma única base de dados pública como a sua principal linha de defesa. Diversificar fontes, threat intelligence comercial, ISAC específicos de cada setor, alternativas open-source, não é um luxo, mas uma necessidade. Os profissionais de segurança que já sabiam disto vão navegar por esta transição. Os restantes acabam de receber um sinal de alerta.

A enxurrada de dados irrelevantes foi sempre o problema. O NIST reconheceu-o agora oficialmente. A questão é se a solução que escolheram protege as pessoas certas, ou apenas quem tem os contratos governamentais certos.

FONTES

1. NIST, NVD Updates NVD Operations to Address Record CVE Growth (15 de abril de 2026)
2. Help Net Security, NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward (16 de abril de 2026)
3. CyberScoop, NIST narrows scope of CVE analysis to keep up with rising tide of vulnerabilities (17 de abril de 2026)
4. Socket.dev, NIST Officially Stops Enriching Most CVEs as Vulnerability Volume Surges (abril de 2026)
5. Infosecurity Magazine, NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities (abril de 2026)
6. SecureWorld, The NVD Course Correction: Navigating NIST’s Strategic Pivot for 2026 (abril de 2026)
7. Dark Reading, NIST Revamps CVE Framework to Focus on High-Impact Vulnerabilities (abril de 2026)
8. The Hacker News, NIST Limits CVE Enrichment After 263% Surge in Vulnerability Submissions (abril de 2026)