Vulnerabilidade crítica não é a mesma coisa que prioridade crítica: o que uma PME deve corrigir primeiro
O relatório de vulnerabilidade chega com 40 itens marcados como "crítico". Ninguém sabe por onde começar, e a equipe — interna ou terceirizada — acaba corrigindo por ordem alfabética ou pelo que é mais fácil, não pelo que realmente importa. O problema não é falta de esforço. É confundir dois números que medem coisas diferentes.
CVSS mede o estrago, EPSS mede a chance
O CVSS (Common Vulnerability Scoring System) é a nota de 0 a 10 que aparece em todo relatório de vulnerabilidade — o famoso "crítico 9.8". Ele mede a severidade técnica: o tamanho do estrago que aquela vulnerabilidade PODE causar, se alguém conseguir explorá-la. É uma nota sobre potencial de dano, não sobre chance real de ataque.
O EPSS (Exploit Prediction Scoring System), mantido pela organização FIRST, é diferente: ele estima a probabilidade real de exploração nos próximos 30 dias, atualizada diariamente com base em dados reais de ataque observados na internet. São duas perguntas diferentes — "quão grave seria" e "quão provável é que aconteça essa semana" — e um relatório que só mostra CVSS está respondendo apenas a primeira.
A maioria das vulnerabilidades críticas nunca é explorada
Da totalidade de CVEs (vulnerabilidades catalogadas) já publicadas, a estimativa mais generosa é de que cerca de 6% chegam a ser exploradas na prática — e estimativas mais rigorosas apontam algo entre 1% e 2%. O dado vem da pesquisa original de Jay Jacobs e equipe do FIRST/EPSS: um estudo de 2020 sobre 75.976 CVEs e o paper EPSS v3 de 2023, que analisou 192.035 CVEs.
Olhando só para as CVEs publicadas em 2026: 11,7% foram classificadas como severidade Crítica e 42,2% como Alta pelo CVSS — mas apenas 0,6% delas têm EPSS igual ou acima de 10% de chance real de exploração, e apenas 0,2% estão confirmadas como exploradas no catálogo CISA KEV. Dados consolidados de NVD, CVE Program e CISA KEV (CVE Statistics 2026).
Corrigir todas as vulnerabilidades "críticas" na mesma velocidade, tratando todas como igualmente urgentes, é desperdiçar um tempo que a PME não tem sobrando — a equipe de TI gasta a semana toda em patches que, estatisticamente, quase nunca seriam explorados, enquanto a vulnerabilidade que de fato está sendo usada em ataques reais espera na fila.
Sua empresa sabe quais das vulnerabilidades "críticas" do último relatório são realmente urgentes?
Falar no WhatsAppExemplo real: o CVSS mais alto não era a prioridade
Em agosto de 2026, duas vulnerabilidades adicionadas ao catálogo CISA KEV naquele mês mostram bem por que olhar só o CVSS engana:
Progress Kemp LoadMaster
- CVSS 9,6 — severidade alta, mas não a máxima
- EPSS 99,3% — chance de exploração praticamente certa
- Prioridade real: correção imediata
Metabase
- CVSS 10,0 — o score máximo possível
- EPSS 10,4% — chance real de exploração muito mais baixa
- Prioridade real: relevante, mas não a mais urgente da lista
Se a equipe seguisse só o CVSS, corrigiria o Metabase primeiro — afinal, tem a nota mais alta possível. Mas quem olha o EPSS junto vê que o LoadMaster, com nota "menor", tinha chance de exploração praticamente certa. Dados do catálogo CISA KEV e EPSS de agosto de 2026, mantido pela FIRST.org.
A recomendação de mercado consolidada em 2026 é priorizar patch combinando três sinais — CVSS (severidade), EPSS (probabilidade real de exploração) e presença no catálogo CISA KEV (confirmação de exploração ativa) — nunca usar CVSS sozinho como critério de prioridade.
Framework prático de 3 perguntas para priorizar
O CVSS é alto?
Primeiro filtro, não o único. Serve para saber o tamanho do estrago possível, caso a vulnerabilidade seja explorada.
Está no catálogo CISA KEV — confirmadamente explorada?
Se sim, é prioridade máxima independente do CVSS. Exploração ativa já foi observada na prática, não é mais probabilidade.
O sistema afetado está exposto e acessível de fora da rede da empresa?
Uma vulnerabilidade crítica num sistema isolado, sem acesso externo, tem urgência diferente de uma no mesmo servidor exposto à internet.
Checklist rápido para o próximo relatório de vulnerabilidade
- O relatório mostra CVSS e EPSS lado a lado, ou só o CVSS?
- Existe verificação se cada item crítico já está no catálogo CISA KEV?
- A exposição do sistema (interno vs. acessível externamente) é considerada na ordem de correção?
- A equipe sabe explicar por que corrigiu um item antes de outro — ou seguiu ordem alfabética?
- Vulnerabilidades com EPSS alto recebem tratamento mais rápido do que as com CVSS alto e EPSS baixo?
Sua empresa sabe priorizar vulnerabilidades pelo risco real, não só pelo CVSS?
A Oryxon ajuda a interpretar relatórios de vulnerabilidade e definir o que corrigir primeiro, combinando severidade, probabilidade real de exploração e exposição do sistema — em vez de tentar corrigir tudo de uma vez.
Solicitar diagnóstico gratuitoFontes
- Jay Jacobs e equipe FIRST/EPSS — estudo de 2020 sobre 75.976 CVEs, e paper EPSS v3 (2023) sobre 192.035 CVEs
- CVE Statistics 2026 — dados consolidados de NVD, CVE Program e CISA KEV
- FIRST.org — metodologia EPSS (Exploit Prediction Scoring System)
- Catálogo CISA KEV — dados EPSS de agosto de 2026 (casos Progress Kemp LoadMaster e Metabase)