Vulnerabilidades críticas e CVEs
Como priorizar riscos com dados públicos do NVD e CISA KEV — volume, severidade e o que realmente importa defender.
O que é um CVE e por que o volume importa
CVE (Common Vulnerabilities and Exposures) é um identificador único para cada vulnerabilidade de segurança conhecida, publicado pelo NVD (National Vulnerability Database) do NIST. Cada CVE inclui uma pontuação CVSS (Common Vulnerability Scoring System) de 0 a 10 que indica a severidade.
Volume real de CVEs (últimos 30 dias) — NVD
Dados coletados via NVD API (NIST). Junho 2026. O VAIA atualiza esses dados periodicamente.
CISA KEV: a lista que realmente importa
O CISA (Cybersecurity and Infrastructure Security Agency) mantém o Known Exploited Vulnerabilities (KEV) catalog — uma lista de CVEs com exploração ativa confirmada em campo. Enquanto o NVD lista todo CVE conhecido, o KEV lista apenas os que atacantes já estão usando ativamente. É a lista de prioridade máxima.
- 1. CISA KEV primeiro — exige remediação imediata se o sistema está exposto.
- 2. CVSS ≥ 9.0 em sistemas expostos à internet — crítico com alta visibilidade de ataque.
- 3. CVSS 7.0–8.9 em sistemas com dados sensíveis — alto risco contextual.
- 4. CVEs ≤ 6.9 em sistemas isolados — remediar em ciclo normal de patch management.
O que o VAIA identificou sobre vulnerabilidades
54 vulnerabilidades no CISA KEV — todas com exploração confirmada
O VAIA monitorou 54 entradas no CISA KEV com exploração ativa documentada. Essas vulnerabilidades afetam produtos de fornecedores amplamente usados — qualquer organização com esses sistemas precisa priorizar imediatamente.
Supply chain de NPM como vetor emergente
O compromentimento do TanStack Router via NPM sinalizou que a superfície de ataque migrou para dependências de código aberto. Pacotes com muitos downloads mas poucos mantenedores são o próximo vetor crítico a monitorar.
Sinais editoriais relacionados
Monitorar CVEs em tempo real
Acesse o painel de Segurança do VAIA para a visão dinâmica completa, incluindo CVEs por severidade, contratação defensiva e sinais de ameaça ativa.