CISA alerta que falhas exploradas atualmente deveriam ter sido eliminadas há décadas
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) voltou a pressionar fabricantes de software a adotarem o conceito de Secure by Design. O alerta surgiu após uma análise revelar que vulnerabilidades exploradas por criminosos em 2024 e 2025 continuam concentradas em categorias conhecidas há muitos anos.
Na prática, o levantamento mostra que uma parcela expressiva das falhas registradas com identificadores CVE – e posteriormente incluídas no catálogo Known Exploited Vulnerabilities (KEV) – resulta de erros básicos de desenvolvimento. São problemas documentados, com métodos de prevenção conhecidos e que, em muitos casos, poderiam ser impedidos antes mesmo do lançamento de um produto.
Entre as categorias mais recorrentes estão as vulnerabilidades de injeção. O grupo inclui o cross-site scripting (XSS), associado à CWE-79; a injeção de comandos do sistema operacional, classificada como CWE-78; e a injeção de SQL, identificada como CWE-89. Esses ataques permitem que entradas manipuladas pelo invasor sejam interpretadas de maneira indevida por aplicações, bancos de dados ou sistemas operacionais.
A validação inadequada de entradas, representada pela CWE-20, também aparece em posição de destaque. Segundo a CISA, essa foi a categoria de fraqueza mais frequente tanto no conjunto geral de CVEs quanto entre os registros que chegaram ao catálogo de vulnerabilidades exploradas ativamente.
O problema não é recente. Em 2007, a MITRE já havia identificado um conjunto de falhas consideradas “imperdoáveis”. Eram vulnerabilidades comuns, amplamente conhecidas, com caminhos de exploração relativamente claros e cuja detecção não exigia recursos extraordinários.
Anos depois, em 2023, outra avaliação da MITRE passou a chamar determinadas categorias de “stubborn weaknesses”, ou fraquezas persistentes. A expressão descreve vulnerabilidades que continuam surgindo em produtos modernos mesmo quando existem padrões, ferramentas e práticas capazes de evitá-las.
Os números da CISA reforçam essa repetição histórica. Em 2024, sete das dez categorias CWE mais frequentes entre os CVEs pertenciam ao grupo das fraquezas persistentes. No catálogo KEV, a proporção foi semelhante: sete das dez categorias mais comuns estavam nessa classificação e, juntas, representaram 41,5% das vulnerabilidades analisadas.
Entre as cinco categorias mais presentes no KEV, três correspondiam a problemas que já deveriam estar sob controle há muito tempo: validação insuficiente de entradas, path traversal – associado à CWE-22 – e injeção de comandos do sistema operacional.
A situação não apresentou mudança significativa em 2025. Sete das dez principais categorias identificadas pela CISA já haviam sido tratadas como problemas “imperdoáveis” no levantamento de 2007. Isso significa que várias das falhas mais exploradas atualmente permanecem ativas quase duas décadas depois de terem sido descritas e estudadas.
Por que vulnerabilidades antigas continuam aparecendo
Para a CISA, a persistência dessas falhas não é explicada apenas por dificuldades técnicas. O desenvolvimento seguro exige conhecimento, mas também depende de decisões administrativas, prioridades de negócio, qualidade dos processos e compromisso das empresas com a segurança desde as primeiras etapas do projeto.
Quando a proteção é deixada para o fim do ciclo de desenvolvimento, equipes normalmente recorrem a correções emergenciais. Essa estratégia pode eliminar um sintoma específico, mas não necessariamente resolve a causa estrutural. Como consequência, a mesma categoria de vulnerabilidade pode reaparecer em diferentes módulos, versões ou produtos.
Outro fator é a pressão por lançamentos rápidos. Prazos reduzidos, equipes sobrecarregadas e metas concentradas em novas funcionalidades fazem com que testes de segurança sejam tratados como uma etapa posterior. Nessa situação, práticas essenciais, como revisão de código, validação rigorosa de entradas e testes automatizados, podem ser aplicadas de forma incompleta.
Avaliações de risco realizadas pela própria CISA em organizações também encontraram padrões semelhantes. Falhas de segurança de memória e problemas na validação de entradas continuam entre os caminhos mais confiáveis para invasões. Em 2025, essas duas categorias responderam por 16,7% dos registros do catálogo KEV.
O papel do Secure by Design
O princípio de Secure by Design propõe uma mudança de responsabilidade. Em vez de transferir todo o peso da proteção para o cliente, o fabricante deve entregar produtos que já tenham mecanismos de segurança incorporados à arquitetura, às configurações padrão e ao processo de atualização.
Isso inclui eliminar classes inteiras de vulnerabilidades durante a concepção do sistema, reduzir configurações inseguras, oferecer atualizações confiáveis e automatizar controles de monitoramento. A segurança deixa de ser apenas uma reação a incidentes e passa a fazer parte dos requisitos básicos do produto.
A CISA também observa que a frequência de uma vulnerabilidade entre os CVEs não determina, sozinha, o risco real de exploração. Falhas de injeção podem aparecer em grande quantidade nos registros públicos, mas são proporcionalmente menos exploradas em ambientes pertencentes a organizações com maior maturidade em segurança digital.
Esse contraste indica que controles preventivos, segmentação, monitoramento, gestão de identidades e processos de correção bem estruturados conseguem reduzir o impacto mesmo quando uma vulnerabilidade é conhecida. Ainda assim, a existência desses controles não elimina a obrigação de os fornecedores corrigirem problemas fundamentais.
Como empresas podem reduzir a exposição
Para os compradores de tecnologia, a recomendação é avaliar mais do que preço, desempenho e quantidade de funcionalidades. A maturidade de segurança do fornecedor deve fazer parte do processo de contratação e renovação de produtos.
Entre os critérios importantes estão a existência de um programa de desenvolvimento seguro, prazos claros para correção, transparência sobre incidentes, suporte a atualizações, autenticação forte e capacidade de fornecer informações sobre componentes de terceiros.
A CISA também recomenda atenção aos Software Bills of Materials (SBOMs). Esses documentos apresentam os componentes utilizados em um software, incluindo bibliotecas e dependências externas. Com essa visibilidade, as organizações conseguem identificar mais rapidamente quais sistemas podem ser afetados quando uma falha é descoberta em determinado componente.
Além disso, as empresas devem manter inventários atualizados, priorizar a correção de vulnerabilidades que já aparecem no catálogo KEV e aplicar medidas de contenção quando uma atualização não estiver imediatamente disponível. A simples existência de um CVE não deve ser o único critério de prioridade: a exploração ativa e a exposição do ativo precisam ser consideradas.
Segurança como responsabilidade empresarial
O alerta da CISA demonstra que combater ataques não significa apenas reagir com velocidade depois que os criminosos encontram uma brecha. A estratégia mais eficiente é impedir que falhas previsíveis cheguem ao ambiente de produção.
A repetição de vulnerabilidades conhecidas há décadas revela uma deficiência sistêmica na indústria. Quando problemas como injeção, path traversal, falhas de memória e validação inadequada continuam sendo explorados, fica evidente que ferramentas e conhecimento técnico, sozinhos, não bastam.
Fabricantes precisam assumir maior responsabilidade pelos resultados de segurança de seus produtos. Organizações consumidoras, por sua vez, devem exigir transparência, processos sólidos e evidências de que a proteção foi considerada desde o início.
Para a CISA, reduzir esse tipo de risco é uma questão que ultrapassa a área de tecnologia. Vulnerabilidades recorrentes podem interromper operações, afetar serviços essenciais, gerar prejuízos financeiros e comprometer a segurança de cadeias inteiras de fornecimento. Por isso, o risco cibernético deve ser tratado também como risco empresarial, ameaça à resiliência operacional e fator relevante para a segurança nacional.