Gestão de patches.

A gestão de patches cobre todo o ciclo, da divulgação da vulnerabilidade à remediação verificada, em sistemas operacionais, firmware, aplicações, contêineres e dependências. Programas maduros priorizam patches com dados de explorabilidade (CVSS, EPSS, KEV), criticidade de negócio e controles compensatórios, implantando-os em anéis escalonados para reduzir o risco operacional. Automação, janelas de mudança, planos de rollback e SLAs por severidade são essenciais.

A janela que mata está entre o patch e a implantação

Existir um patch não protege ninguém; instalá-lo, sim — e a lacuna entre os dois é onde acontecem as brechas.

• Equifax (2017): a falha do Apache Struts CVE-2017-5638 foi corrigida em 7 de março de 2017; os atacantes começaram a explorar o portal sem patch da Equifax por volta de 10 de março e exfiltraram dados de cerca de 147 milhões de pessoas até o fim de julho, porque a correção nunca foi aplicada.
• WannaCry (maio de 2017): a Microsoft lançou o MS17-010 em 14 de março de 2017, corrigindo a falha do SMBv1 (CVE-2017-0144) que o exploit vazado EternalBlue abusava. Dois meses depois, organizações que não o haviam implantado — incluindo partes do NHS britânico — foram paralisadas por um ransomware que se espalhava como verme.
• Log4Shell (CVE-2021-44228, 2021): uma RCE trivialmente explorável numa biblioteca de logging onipresente mostrou por que um inventário de software (SBOM) vivo hoje faz parte da gestão de patches.

Como programas maduros priorizam

Como nenhuma equipe consegue corrigir tudo de uma vez, programas modernos ordenam o trabalho pela probabilidade de exploração, não só pela severidade CVSS. O catálogo Known Exploited Vulnerabilities (KEV) da CISA (lançado em novembro de 2021) e as pontuações EPSS do FIRST permitem priorizar o pequeno conjunto de falhas sob ataque ativo, enquanto correções de rotina fluem por anéis escalonados com planos de rollback.

flowchart LR
  A[Vulnerabilidade divulgada / CVE] --> B[Inventário de ativos + SBOM:<br/>estamos afetados?]
  B --> C[Priorizar: CVSS + EPSS + KEV<br/>+ criticidade de negócio]
  C --> D[Testar no anel piloto]
  D --> E[Implantação escalonada:<br/>amplo e depois produção]
  E --> F[Verificar com novo scan]
  F -->|Falha / regressão| G[Rollback + controle compensatório]
  G --> D