Um vírus que explora um antivírus, um objeto conectado que abre a porta da rede corporativa, um componente web de terceiros que serve como um relé de exfiltração: as ameaças recentes não visam mais um perímetro isolado. Elas atravessam a cadeia de confiança de ponta a ponta. Compreender os mecanismos por trás desses ataques permite ler melhor as notícias sobre cibersegurança e antecipar os patches a serem aplicados com prioridade.
Zero-day nas ferramentas de defesa: quando o antivírus se torna a falha
Um zero-day refere-se a uma vulnerabilidade explorada antes que um patch esteja disponível. O termo vem do fato de que o editor tem zero dias de aviso prévio para proteger seus usuários.
Em 2026, o Microsoft Defender foi alvo de um zero-day chamado BlueHammer, permitindo uma elevação de privilégios local. Grupos de ransomware o exploraram antes da publicação do patch. O paradoxo é direto: a ferramenta que deveria proteger a estação de trabalho se torna o vetor de ataque.
Esse tipo de cenário complica a priorização dos patches para as empresas. Tradicionalmente, as equipes de segurança priorizam as falhas nos serviços expostos à internet. Quando a vulnerabilidade afeta um componente de segurança já implantado em cada estação, a superfície de ataque é todo o parque. É possível descobrir as notícias no Viruslab para acompanhar esses alertas zero-day à medida que são publicados.
Catálogo KEV e diretiva BOD 26-04: o quadro de remediação se torna mais rigoroso
A CISA (agência americana de cibersegurança) mantém um catálogo chamado KEV (Known Exploited Vulnerabilities). Este catálogo lista as vulnerabilidades cuja exploração ativa é confirmada. Cada entrada vem acompanhada de um prazo de remediação obrigatório para as agências federais.
A diretiva BOD 26-04, publicada em 2026, reforçou essa obrigação ao direcionar especificamente os ativos expostos na internet. A mudança é operacional: passamos de recomendações gerais para uma exigência mensurável, com um cronograma de correção imposto.
Para as empresas europeias, este catálogo serve como uma referência indireta. A ANSSI na França recomenda monitorar o KEV e integrá-lo nos processos de gestão de vulnerabilidades, mesmo sem uma obrigação legal direta. O relatório de atividades do Cybermalveillance.gouv.fr apontou um aumento significativo nas solicitações de assistência, confirmando que os ciberataques estão se intensificando no território.
Por que o KEV muda a priorização dos patches
Sem um catálogo de referência, uma equipe de segurança classifica as falhas por pontuação CVSS (gravidade técnica). O problema: uma pontuação alta não significa necessariamente uma exploração ativa. O KEV inverte a lógica. Uma falha moderada, mas ativamente explorada, passa à frente de uma falha crítica teórica.
Essa abordagem obriga a cruzar dois fluxos de informação: o boletim do editor (Microsoft, Cisco, etc.) e a lista KEV atualizada pela CISA. As PME que não têm uma equipe dedicada podem contar com ferramentas de gestão de vulnerabilidades que integram diretamente este catálogo.
Objetos IoT e componentes web: os pontos cegos da cadeia de confiança
Os ataques recentes não se limitam mais a servidores ou estações de trabalho. Duas categorias de ativos permanecem regularmente subcorrigidas: os objetos conectados (IoT) e os componentes web de terceiros (bibliotecas JavaScript, gerenciadores de pacotes npm/yarn).
Um objeto IoT, seja uma câmera de vigilância, um sensor industrial ou uma impressora de rede, muitas vezes funciona com um firmware raramente atualizado. Seu sistema operacional é mínimo, e seus mecanismos de autenticação às vezes inexistem. Um dispositivo IoT não segmentado na rede oferece acesso lateral a toda a infraestrutura.
No lado web, falhas críticas no npm e yarn facilitaram ataques por injeção de dependências. O princípio: um atacante publica um pacote malicioso cujo nome se assemelha a uma biblioteca legítima. O desenvolvedor o instala por engano, e o código malicioso é executado no ambiente de produção.
Priorizar os patches em três frentes simultâneas
A dificuldade para as empresas é lidar com esses três fronts (infraestrutura, web, IoT) com recursos limitados. Uma grade de priorização realista se baseia em três critérios cruzados:
- A exposição da rede do ativo: um serviço acessível pela internet é corrigido antes de um equipamento interno isolado
- A presença no catálogo KEV ou um equivalente europeu: uma exploração ativa confirmada aciona um patch em poucos dias, não em poucas semanas
- A capacidade de segmentação: se um objeto IoT não pode ser atualizado rapidamente, isolá-lo em uma VLAN dedicada reduz o risco de propagação lateral
Essa abordagem baseada em risco operacional substitui o método baseado apenas em pontuação técnica pura. Ela exige um inventário atualizado dos ativos, que continua sendo o ponto fraco de muitas entidades e PME.
Ransomware e exfiltração de dados: as técnicas de ataque convergem
Os grupos de ransomware agora combinam criptografia e exfiltração. O esquema clássico (criptografar arquivos, pedir um resgate) é acompanhado por uma ameaça de publicação dos dados roubados. Essa dupla extorsão aumenta a pressão sobre as vítimas, especialmente as entidades que gerenciam dados pessoais de seus cidadãos.
A utilização de inteligência artificial pelos atacantes acelera a adaptação dos malwares. Casos documentados mostram que ferramentas de IA generativa são usadas para modificar automaticamente o código de um software malicioso para contornar as assinaturas de detecção. O malware muda mais rápido do que as bases de assinaturas conseguem ser atualizadas.
Esse fenômeno também afeta as APIs expostas. Um caso recente mostrou que uma API de um fornecedor de IA pode ser desviada para exfiltrar dados. O serviço legítimo então serve como um canal de saída, o que torna a detecção por firewalls tradicionais muito difícil, uma vez que o tráfego se assemelha a um uso normal.
Proteger os dados além do perímetro da rede
A proteção apenas no perímetro não é mais suficiente. As empresas que lidam com dados sensíveis devem monitorar os fluxos de saída tanto quanto os fluxos de entrada. A criptografia dos dados em repouso e em trânsito, combinada com uma detecção comportamental de acessos anormais, constitui uma base mais adequada às ameaças atuais.
- Monitorar solicitações de API incomuns em volume ou destino
- Aplicar o princípio do menor privilégio em cada conta de serviço
- Testar regularmente a restauração dos backups para validar sua integridade diante de um cenário de ransomware
O panorama das ameaças em 2026 se caracteriza por essa convergência: um mesmo grupo explora um zero-day em uma ferramenta de defesa, pivota para um objeto IoT mal segmentado e, em seguida, exfiltra via uma API legítima. A resposta passa por um inventário abrangente dos ativos, uma priorização baseada na exploração real e uma segmentação de rede que limita a propagação mesmo quando a primeira barreira cede.