A Microsoft publicou uma análise sobre quais vulnerabilidades, as chamadas falhas de segurança, são de fato usadas por criminosos em ataques reais. Desde 1999 até setembro de 2026, cerca de 383 mil falhas de software foram divulgadas, mas apenas cerca de 2 mil CVEs, que são códigos padronizados de identificação de falhas, tiveram exploração comprovada no mundo real. Isso dá aproximadamente 0,5% do total.

Segundo o estudo, os criminosos preferem falhas que permitem assumir o controle de um sistema, como a execução remota de código (RCE), a escalada de privilégios e a quebra de autenticação. Pense numa casa: é mais valioso para um ladrão encontrar uma chave mestra do que uma janela que só faz barulho. A análise classifica cada falha pelo maior impacto que ela permite e pelas plataformas afetadas, como Windows, Linux, celulares, equipamentos de rede e dispositivos IoT. Entre as CVEs exploradas, a RCE no servidor passou de 20% para 37% do total, e a RCE no cliente foi de 4% para 13%.

O problema é o tempo. A correção, chamada de patch, pode levar semanas ou meses em sistemas críticos, e alguns sistemas antigos ou sem suporte nem chegam a receber atualização. Segundo dados da Microsoft de 2026, a correção mediana leva cerca de duas semanas em estações Windows, mais de um mês em servidores Windows, mais de 10 semanas em servidores Linux e mais de um ano em equipamentos de rede. Enquanto isso, os criminosos têm pressa: segundo a VulnCheck, 29% dos exploits de 2025 surgiram em até 1 dia da publicação da CVE. Dados da CISA citados no estudo mostram que o intervalo médio caiu de 89 dias em 2024 para 57 dias em 2025, e que em 2026, até setembro, esse número chegou a 20 dias, com mediana de 3 dias.

A recomendação é priorizar. Segundo a Microsoft, a equipe de defesa deve concentrar esforços nas falhas que combinam alto impacto e alta exposição, levando em conta quais contas e permissões um servidor acessa, porque invadir um servidor com muitos privilégios pode abrir caminho para toda a rede ou para a nuvem. Falhas de negação de serviço e vazamento de credenciais também merecem atenção em ambientes onde a disponibilidade é essencial. A empresa cita ferramentas próprias, como o Microsoft Defender External Attack Surface Management, o Microsoft Defender Vulnerability Management e a análise de caminhos de ataque, mas o texto da fonte não traz uma lista de passos práticos para o usuário comum.

Na prática, o recado é que a correção continua essencial, mas não basta sozinha: é preciso descobrir o que está exposto na internet, corrigir primeiro o que os criminosos mais usam e impedir que uma invasão inicial chegue aos sistemas críticos. Quem administra sistemas deve seguir as instruções oficiais de cada fabricante e manter os equipamentos atualizados.