O número de vulnerabilidades descobertas em softwares cresce continuamente, mas apenas uma pequena parcela dessas falhas aparece em ataques cibernéticos reais. Um levantamento publicado pela Microsoft em 2 de novembro de 2026 revela que, das aproximadamente 383 mil vulnerabilidades registradas entre 1999 e setembro de 2026, apenas 2.056 foram associadas a explorações identificadas no mundo real. O percentual, próximo de 0,5%, chama a atenção não apenas pela quantidade reduzida, mas principalmente pelo comportamento dos invasores. A análise mostra que os criminosos não distribuem seus esforços de maneira uniforme. Eles concentram suas atividades em vulnerabilidades que oferecem maiores possibilidades de acesso, controle e comprometimento de sistemas. O estudo, conduzido pelos pesquisadores Yair Tsarfaty e Or Begam, da Microsoft Security Research, examinou as características das falhas exploradas e identificou padrões que ajudam a compreender como os atacantes selecionam seus alvos. Os resultados também levantam uma questão importante para as equipes de segurança: em ambientes que acumulam centenas ou milhares de vulnerabilidades, determinar quais representam ameaças imediatas pode ser tão importante quanto identificá-las.
Invasores priorizam falhas que permitem controlar sistemas
Entre as vulnerabilidades efetivamente exploradas, as que possibilitam execução remota de código (RCE) aparecem com destaque. Essa categoria permite que um invasor execute comandos ou programas em um sistema vulnerável, podendo comprometer aplicações, servidores e outros componentes da infraestrutura.
Segundo a Microsoft, as vulnerabilidades de execução remota de código no lado do servidor representam 20% de todas as falhas divulgadas, mas correspondem a 37% daquelas associadas a ataques reais.
A diferença indica uma preferência por vulnerabilidades que permitem comprometer serviços acessíveis pela rede, muitas vezes sem exigir qualquer interação do usuário.
O mesmo comportamento aparece nas falhas de elevação de privilégios locais. Embora representem 11% das vulnerabilidades registradas, elas respondem por 18% das explorações observadas. Essas falhas permitem que um invasor que já possui algum nível de acesso obtenha permissões superiores, chegando, em determinadas situações, ao controle administrativo do equipamento.
As vulnerabilidades de execução remota de código no lado do cliente também apresentam uma diferença expressiva. Elas representam apenas 4% das falhas conhecidas, mas correspondem a 13% das exploradas. Nesse grupo estão problemas que podem ser acionados quando uma vítima abre um documento ou executa conteúdo malicioso.
Em contrapartida, categorias bastante frequentes nos registros de segurança aparecem proporcionalmente menos nos ataques analisados.
O cross-site scripting (XSS), por exemplo, representa aproximadamente 15% das vulnerabilidades divulgadas, mas responde por apenas 4% das explorações identificadas. Já as falhas de negação de serviço (DoS) correspondem a 16% dos registros e a 7% das vulnerabilidades exploradas.
Isso não significa que essas categorias sejam inofensivas. Um ataque de negação de serviço contra uma infraestrutura essencial pode interromper operações críticas, enquanto determinadas falhas de XSS podem comprometer sessões e informações de usuários.
A diferença está no potencial de cada vulnerabilidade dentro de uma operação criminosa mais ampla. Falhas que permitem executar comandos, contornar mecanismos de autenticação ou obter privilégios elevados podem abrir caminho para novas etapas de comprometimento.
De acordo com a pesquisa, 78% das vulnerabilidades exploradas em ataques reais pertencem a categorias relacionadas à tomada de controle de sistemas, incluindo execução remota de código, elevação de privilégios e bypass de autenticação.
Sistemas operacionais aparecem com maior frequência entre as falhas exploradas
Outro aspecto identificado pela Microsoft envolve os componentes afetados pelas vulnerabilidades.
Do universo de falhas catalogadas, aproximadamente 77% estão relacionadas a aplicações e 23% a sistemas operacionais e seus componentes. Entretanto, quando a análise considera apenas as vulnerabilidades exploradas, a participação dos sistemas operacionais sobe para 41%.
Esse comportamento evidencia a importância de componentes que oferecem acesso privilegiado aos recursos de uma máquina.
Uma vulnerabilidade em um sistema operacional pode permitir que um invasor ultrapasse limitações impostas a aplicações e usuários comuns, especialmente quando envolve o kernel, drivers ou mecanismos de controle de acesso.
Em ambientes corporativos, o comprometimento desses componentes pode ter consequências que ultrapassam o equipamento inicialmente afetado.
Servidores frequentemente executam serviços associados a contas com permissões específicas, mantêm conexões com bancos de dados e utilizam credenciais para acessar recursos internos ou serviços em nuvem. Dependendo das configurações e dos privilégios disponíveis, o comprometimento de um desses sistemas pode facilitar o acesso a outras partes da infraestrutura.
A Microsoft ressalta, contudo, que a classificação técnica de uma vulnerabilidade nem sempre corresponde ao resultado que um invasor consegue obter na prática.
Uma falha descrita como execução remota de código, por exemplo, pode apresentar limitações que impeçam a execução confiável de comandos, resultando apenas na interrupção do serviço.
Por isso, compreender as condições reais de exploração é fundamental para avaliar o risco representado por cada vulnerabilidade.
O tempo entre a divulgação e a exploração está diminuindo
A pesquisa também aborda um problema recorrente na segurança corporativa: a diferença entre a velocidade com que os criminosos começam a explorar vulnerabilidades e o tempo necessário para que as organizações instalem as correções.
Dados de 2026 do Microsoft Security Exposure Management mostram que estações de trabalho Windows levam, em mediana, aproximadamente duas semanas para receber correções de vulnerabilidades.
Em servidores Windows, esse intervalo ultrapassa um mês. Nos servidores Linux e em aplicações executadas no macOS, o prazo pode superar dez semanas.
A situação é ainda mais preocupante em equipamentos de rede, nos quais determinadas vulnerabilidades podem permanecer sem correção por mais de um ano.
Esses intervalos não significam necessariamente falta de atenção das equipes responsáveis. A aplicação de atualizações em ambientes corporativos frequentemente exige testes de compatibilidade, planejamento de janelas de manutenção e avaliação de possíveis impactos operacionais.
Em sistemas essenciais, uma atualização mal executada pode interromper serviços ou comprometer a disponibilidade de aplicações utilizadas diariamente.
Os atacantes, entretanto, não precisam aguardar esse processo.
Segundo dados da VulnCheck citados pela Microsoft, 29% dos exploits observados em 2025 foram disponibilizados ou utilizados dentro de um dia após a publicação da respectiva CVE.
Outro indicador apresentado no estudo considera o intervalo entre a divulgação de uma vulnerabilidade e sua inclusão no catálogo Known Exploited Vulnerabilities (KEV), mantido pela Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA).
Em 2024, o tempo médio era de 89 dias. Em 2025, caiu para 57 dias. Nos dados referentes a 2026, até setembro, o intervalo médio chegou a 20 dias, com mediana de apenas três dias.
Embora a inclusão no catálogo KEV não represente necessariamente o momento inicial da exploração, a redução desse intervalo mostra como vulnerabilidades recentemente divulgadas estão sendo rapidamente associadas a atividades maliciosas confirmadas.
Para as organizações, isso significa que determinadas falhas podem começar a ser exploradas antes mesmo da conclusão dos procedimentos internos de avaliação e atualização.
Inteligência artificial pode acelerar o desenvolvimento de exploits
A Microsoft também aponta a inteligência artificial como um fator capaz de reduzir o tempo necessário para descobrir vulnerabilidades e desenvolver métodos de exploração.
Ferramentas baseadas em IA podem auxiliar na análise de códigos, identificação de comportamentos inesperados e investigação de componentes vulneráveis. Essas capacidades são úteis para pesquisadores e profissionais de segurança, mas também podem ser utilizadas por agentes maliciosos.
O desenvolvimento de exploits tradicionalmente exige conhecimento técnico, análise de software e testes para identificar condições que permitam explorar uma falha.
Com o apoio de sistemas automatizados, determinadas etapas desse processo podem ser executadas com maior velocidade, diminuindo o intervalo entre a identificação de uma vulnerabilidade e a criação de um código capaz de explorá-la.
A pesquisa não estabelece que a inteligência artificial seja responsável por todos os casos de exploração acelerada. O alerta está relacionado à possibilidade de que essas ferramentas ampliem a capacidade operacional dos atacantes e reduzam ainda mais o tempo disponível para a implementação de medidas defensivas.
Esse cenário ganha relevância especialmente quando uma vulnerabilidade é divulgada antes da disponibilização de uma correção, como ocorre em determinados casos de exploração de falhas zero-day.
Nessas situações, a organização pode precisar recorrer a medidas temporárias de mitigação, restrição de acesso e monitoramento até que uma atualização definitiva esteja disponível.
Corrigir todas as vulnerabilidades não significa reduzir os maiores riscos
Os resultados apresentados pela Microsoft reforçam uma mudança de abordagem na gestão de vulnerabilidades.
Tradicionalmente, muitas organizações utilizam a quantidade de falhas encontradas e corrigidas como indicador de desempenho de suas equipes de segurança. Embora esses números sejam úteis para acompanhar a evolução dos ambientes, eles não mostram, isoladamente, quais vulnerabilidades representam maior possibilidade de comprometimento.
Uma falha classificada como crítica pode apresentar condições de exploração bastante restritas, enquanto outra, com pontuação inferior, pode estar sendo ativamente utilizada contra sistemas expostos à internet.
O contexto do ativo afetado também altera significativamente o risco.
Uma vulnerabilidade em um servidor acessível publicamente, conectado a sistemas internos e associado a contas privilegiadas pode representar uma ameaça maior do que a mesma falha em um equipamento isolado, sem acesso a recursos sensíveis.
Por esse motivo, a análise não deve considerar apenas a gravidade técnica atribuída a uma CVE.
Indicadores como o Common Vulnerability Scoring System (CVSS), que classifica a severidade das vulnerabilidades, continuam relevantes, mas podem ser complementados por informações sobre exploração conhecida, probabilidade de exploração e exposição dos ativos.
O Exploit Prediction Scoring System (EPSS), por exemplo, estima a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias. Já o catálogo CISA KEV reúne vulnerabilidades com evidências de exploração ativa.
Essas informações ajudam a diferenciar falhas que apresentam potencial técnico de exploração daquelas que já estão sendo utilizadas por atacantes ou apresentam maior probabilidade de uso.
Ainda assim, nenhuma dessas métricas substitui a análise do ambiente afetado. A existência de um exploit conhecido não significa que todos os sistemas vulneráveis possam ser comprometidos nas mesmas condições.
Exposição e privilégios determinam o alcance de um ataque
Para a Microsoft, dois fatores ajudam a explicar o interesse dos criminosos por determinadas vulnerabilidades: o impacto da exploração e a exposição do ativo comprometido.
O impacto está relacionado ao que o invasor consegue realizar ao explorar uma falha, como executar comandos, acessar informações ou obter privilégios administrativos.
A exposição considera a posição do equipamento na infraestrutura, suas conexões, os recursos disponíveis e as identidades utilizadas para acessar outros sistemas.
Essa combinação influencia o chamado blast radius, expressão utilizada para descrever o alcance potencial de um comprometimento.
Um servidor vulnerável que possui acesso a bancos de dados, serviços de autenticação e recursos em nuvem pode oferecer oportunidades adicionais para um invasor que consiga assumir seu controle.
Da mesma forma, credenciais com permissões excessivas podem ampliar as consequências de uma exploração inicialmente limitada.
É nesse contexto que vulnerabilidades de execução remota de código, elevação de privilégios e bypass de autenticação se tornam especialmente relevantes.
Elas não apenas possibilitam o comprometimento de um sistema, mas podem fornecer condições para movimentação lateral, acesso a informações confidenciais e comprometimento de outros componentes da infraestrutura.
A redução desse risco depende tanto da correção das vulnerabilidades quanto da aplicação de controles que limitem as consequências de uma possível invasão, incluindo restrição de privilégios, proteção de identidades e revisão dos acessos entre sistemas.
O que os dados representam para a segurança das organizações
O percentual de 0,5% identificado pela Microsoft precisa ser interpretado dentro dos limites da pesquisa. O levantamento considera vulnerabilidades associadas a evidências conhecidas de exploração real, não sendo possível concluir que todas as demais nunca tenham sido utilizadas em ataques.
Explorações podem ocorrer sem serem detectadas, documentadas ou publicamente associadas a uma CVE específica.
Além disso, a menor frequência de exploração de determinadas categorias não elimina a necessidade de corrigi-las. O risco depende das características de cada organização e das consequências que uma exploração pode provocar.
O estudo demonstra, sobretudo, que a distribuição das vulnerabilidades exploradas não acompanha a distribuição geral das falhas divulgadas.
Enquanto algumas categorias representam grande parte dos registros públicos, os ataques observados se concentram em um conjunto mais específico de problemas, frequentemente associados à obtenção de controle e à ampliação do acesso.
Para as equipes responsáveis pela segurança, essa diferença tem implicações práticas na definição das prioridades de correção, principalmente em ambientes com recursos limitados e grande quantidade de ativos.
A identificação contínua de vulnerabilidades, associada à análise de evidências de exploração, à criticidade dos sistemas e às condições reais de exposição, permite direcionar os esforços para os pontos que representam maior risco.
A pesquisa da Microsoft mostra que a eficiência de um programa de gestão de vulnerabilidades não pode ser medida exclusivamente pelo número de correções realizadas. Também é necessário considerar quais oportunidades de ataque foram efetivamente eliminadas e quais caminhos de comprometimento permanecem disponíveis.
