Vulnerabilidade.

Uma vulnerabilidade é qualquer falha ou fraqueza — em código, configuração, design ou prática operacional — que, se explorada, pode comprometer a confidencialidade, a integridade ou a disponibilidade de um sistema de informação. As vulnerabilidades surgem de bugs de software (erros de segurança de memória, ausência de validação de entrada), configurações incorretas, credenciais fracas ou padrão, design inseguro e dependências sem correção.

As vulnerabilidades públicas são catalogadas com identificadores CVE pela MITRE e enriquecidas na National Vulnerability Database do NIST. As classes de causa raiz são descritas pela CWE, a severidade é pontuada com o CVSS — cuja revisão v4.0 foi publicada pela FIRST em 1 de novembro de 2023 — e a probabilidade de exploração no curto prazo é estimada pelo EPSS. Como os scanners rotineiramente revelam milhares de achados, as equipes cada vez mais priorizam pela exploração no mundo real: o catálogo Known Exploited Vulnerabilities (KEV) da CISA, obrigatório para as agências federais dos EUA sob a Binding Operational Directive 22-01 (novembro de 2021), lista falhas observadas em abuso ativo. O Log4Shell (CVE-2021-44228, CVSS 10.0) mostrou como a vulnerabilidade de uma única dependência pode expor milhões de sistemas em poucas horas após a divulgação.

Gerir vulnerabilidades exige descoberta contínua (varredura, SAST/DAST, SCA), priorização baseada em risco, aplicação de patches ou controles compensatórios e verificação de que as correções são eficazes e duradouras em todo o inventário de ativos.

flowchart LR
  A[Fraqueza introduzida<br/>código / configuração / design] --> B[Descoberta<br/>varredura · SAST/DAST · divulgação]
  B --> C[Catalogação<br/>CVE · CWE]
  C --> D[Priorização<br/>CVSS · EPSS · CISA KEV]
  D --> E{Explorável?}
  E -->|Sim| F[Exploit / abuso ativo]
  E -->|Corrigir ou mitigar| G[Remediação]
  F --> G
  G --> H[Verificar correção e<br/>atualizar inventário]