Principais conclusões do Verizon DBIR 2026: correção mais lenta de vulnerabilidades, com exploração mais rápida

O relatório Data Breach Investigations Report (DBIR) de 2026 da Verizon revela uma tendência preocupante: a exploração de vulnerabilidades cresceu e se tornou o principal vetor de acesso inicial, enquanto as taxas de correção pioraram.

Principais conclusões

1. A exploração de vulnerabilidades cresceu e se tornou o principal vetor de acesso inicial para violações, sendo responsável por 31% das violações de dados durante o período do estudo.
2. Os esforços de aplicação de patches das equipes de segurança estão ficando ainda mais para trás, com o tempo médio de aplicação de patches aumentando em 11 dias no ano passado.
3. À medida que as ferramentas alimentadas por IA aumentam a velocidade e o volume da descoberta e da exploração de vulnerabilidades, o gerenciamento de exposição ajuda as organizações a se manterem atualizadas, avaliando continuamente suas superfícies de ataque, priorizando os riscos e orquestrando a correção automatizada dos pontos fracos de segurança.

O que é o relatório DBIR da Verizon?

O relatório anual Data Breach Investigations Report (DBIR) da Verizon tem ajudado organizações a compreender a evolução das ameaças cibernéticas desde seu lançamento inicial em 2008. Para a edição de 2026, a Tenable Research mais uma vez contribuiu com dados aprimorados sobre a exploração de vulnerabilidades e as tendências de correção de vulnerabilidades. As descobertas deste ano pintam um quadro sombrio: em comparação com o ano passado, as organizações estão enfrentando um aumento significativo no volume de vulnerabilidades "com correção obrigatória" do catálogo Known Exploited Vulnerabilities (KEV) da Cybersecurity and Infrastructure Security Agency (CISA).

A lacuna cada vez maior entre a divulgação e a correção de vulnerabilidades representa um dos desafios mais urgentes da segurança cibernética atualmente. As equipes de segurança já estão sobrecarregadas, tanto pelo número crescente de vulnerabilidades quanto pela falta de tempo para gerenciamento de patches. Essa realidade ressalta a necessidade fundamental de uma abordagem estratégica e orientada por IA de gerenciamento de exposição para segurança preventiva, projetada para ajudar as organizações a reduzir o risco cibernético, avaliando continuamente suas superfícies de ataque, priorizando riscos e orquestrando a correção automatizada de pontos fracos de segurança.

Visão geral e análise do Verizon DBIR 2026

O DBIR de 2026 da Verizon constatou que a exploração de vulnerabilidades é o principal vetor de acesso inicial, responsável por 31% das violações de dados durante o período do estudo. Ainda mais preocupante é o fato de que o tempo médio para patch aumentou de 32 dias para 43 dias, um aumento de 34%. As descobertas deste ano pintam um quadro sombrio: o número de vulnerabilidades continua a crescer como uma bola de neve, pois as taxas de patch das organizações continuam a ficar para trás.

A explosão de CVEs continua, e a IA vai acelerar esse processo

O cenário de vulnerabilidades continua a ter um crescimento explosivo, pois o programa de CVEs relata atualmente mais de 351 mil CVEs registrados, com mais de 21.500 já reservados em 2026. Como estamos no caminho para outro número recorde de CVEs, essa enxurrada de vulnerabilidades cria uma situação extremamente difícil para as equipes de segurança que já estão sobrecarregadas. Com o aumento do tempo médio para corrigir e a redução do tempo para explorar, os invasores estão ganhando a corrida entre a divulgação e a correção.

A situação pode estar prestes a piorar drasticamente. A comunidade de segurança cibernética está cada vez mais preocupada com as ferramentas de descoberta de vulnerabilidades baseadas em IA como o Claude Mythos da Anthropic, que pode identificar automaticamente falhas de segurança em bases de código em velocidade e escala sem precedentes. Embora essas ferramentas sejam promissoras para as equipes de segurança defensiva, elas também representam um possível ponto de inflexão: se a IA puder descobrir vulnerabilidades mais rapidamente do que as organizações podem corrigi-las, a já imensa carga de patches poderá se tornar realmente incontrolável.

Essa aceleração impulsionada pela IA chega no pior momento possível. As organizações já estão lutando para corrigir as vulnerabilidades; o relatório Data Breach Investigations Report (DBIR) da Verizon evidencia que as organizações corrigem com sucesso apenas 26% das vulnerabilidades de KEV. Além dessa preocupação, o DBIR aponta que houve um aumento de quase 50% no número de vulnerabilidades de CISA KEV a serem corrigidas em 2025, colocando ainda mais pressão sobre as equipes de segurança.

Se os modelos de IA começarem a inundar o banco de dados do CVE com vulnerabilidades recém-descobertas ou, pior ainda, se os invasores aproveitarem esses modelos para encontrar e explorar vulnerabilidades de dia zero antes que os defensores possam responder, é provável que a atual crise de correção se transforme em uma falha sistêmica do modelo tradicional de defesa baseado em patches.

O imperativo do gerenciamento de exposição

Embora a exploração de vulnerabilidades domine as manchetes como o principal vetor de acesso inicial, ela representa apenas uma parte do problema de exposição. O DBIR destaca, em especial, o abuso de credenciais como outro vetor de ameaça significativo, ressaltando que as vulnerabilidades não existem isoladamente. O roubo de credenciais pode transformar uma vulnerabilidade de severidade moderada em uma via de ataque crítica, enquanto as configurações expostas podem fornecer aos invasores o acesso necessário para a exploração de sistemas não remediados.

Essa natureza interconectada das exposições destaca o motivo pelo qual cada vez mais organizações estão adotando uma abordagem abrangente de gerenciamento de exposição. Compreender e abordar toda a superfície de ataque, incluindo riscos de identidade, configurações incorretas, permissões excessivas e ativos vulneráveis, é essencial para reduzir o risco de violação no atual cenário de ameaças.

O surgimento da descoberta de vulnerabilidades com tecnologia de IA torna o gerenciamento de exposição completamente essencial. Como as ferramentas de IA aceleram a identificação de vulnerabilidades, as organizações não podem simplesmente tentar aplicar patches a mais vulnerabilidades com mais rapidez. Em vez disso, devem se concentrar em compreender e corrigir as vulnerabilidades mais importantes no contexto de seu ambiente específico. Uma vulnerabilidade recém-descoberta em um sistema isolado sem credenciais expostas e com fortes controles de acesso representa um risco muito menor do que um CVE mais antigo em um ativo voltado à Internet com autenticação fraca. A Plataforma de gerenciamento de exposição Tenable One fornece a estrutura contextual necessária para tomar essas decisões críticas de priorização e o mecanismo de orquestração agêntica necessário para acelerar a correção em uma era de descoberta de vulnerabilidades aceleradas por IA.

Insights de dados importantes do período do relatório DBIR

À medida que a Tenable Research examinava as tendências nos dados, nossa equipe decidiu destilar os CVEs em categorias de produtos e comparar quais categorias apresentavam a maior porcentagem de ativos não corrigidos. Para nossa análise, nos concentramos nos CVEs de KEV, pois são vulnerabilidades conhecidas por terem sido exploradas e estarem na mira dos invasores. 

Como pode ser observado na figura abaixo, as vulnerabilidades que afetam as ferramentas de desenvolvimento apresentaram a maior taxa de ativos não corrigidos, seguidas por falhas de virtualização/hipervisor e falhas de monitoramento e gerenciamento remoto (RMM). Embora o processo de correção possa variar entre essas categorias de produtos, a tendência geral de quase todas as categorias apresentarem uma taxa de correções acima de 50% demonstra que as organizações ainda enfrentam dificuldades com a correção de vulnerabilidades.

Da mesma forma, analisamos o número médio de dias em que os ativos permaneceram sem correção, comparando-o com o número de CVEs que afetaram essa categoria durante o período de análise do DBIR.

A análise dos dados da Tenable reforça a dura realidade destacada no DBIR da Verizon: as organizações estão demorando mais para aplicar patches em vulnerabilidades conhecidas e exploradas, enquanto enfrentam um rápido aumento no número de vulnerabilidades que exigem atenção imediata.

Conclusões do DBIR

As descobertas do DBIR 2026 são preocupantes, mas não surpreendentes para aqueles que estão na linha de frente da segurança cibernética. Os dados confirmam o que muitas equipes de segurança vivenciam diariamente: a carga de patches está crescendo mais rapidamente do que a capacidade de resposta das organizações. Como a exploração de vulnerabilidades agora é o principal vetor de acesso inicial e o tempo médio para aplicação de patches continua a subir, a lacuna entre a velocidade do invasor e a resposta do defensor continua a aumentar.

As organizações devem adotar uma abordagem centrada na exposição, que considere não apenas a presença de vulnerabilidades, mas todo o contexto de risco do seu ambiente:

• Quais ativos estão expostos?
• Quem tem acesso?
• Quais credenciais foram comprometidas?
• Quais combinações de exposição criam as vias de ataque mais perigosas?

Em uma era em que a IA está descobrindo vulnerabilidades mais rapidamente do que os humanos conseguem corrigi-las, entender quais exposições realmente importam representa o único caminho sustentável a seguir.

O DBIR de 2026, aprimorado com os dados da Tenable Research, fornece informações valiosas sobre o cenário atual de ameaças. A Tenable recomenda que os profissionais de segurança leiam o documento Verizon DBIR completo para compreender as tendências atuais de ataques e usar essas descobertas para orientar suas estratégias de gerenciamento de exposição. A crise documentada neste relatório sinaliza que o modelo tradicional centrado em vulnerabilidades precisa de uma evolução fundamental rumo ao gerenciamento de exposição abrangente e orientado por IA.

Identificação de sistemas afetados

A Tenable oferece cobertura de detecção abrangente para o catálogo KEV da CISA, com recursos de detecção implementados rapidamente após a divulgação da vulnerabilidade. Essa cobertura abrange diversas categorias de ativos, permitindo uma visibilidade abrangente das vulnerabilidades exploradas ativamente em seus ambientes. Os CVEs no catálogo KEV terão uma tag nas páginas de CVE, e você pode procurar nossos próximos plug-ins na página de Pipeline de plug-ins.

Obtenha mais informações

• Data Breach Investigations Report (DBIR) de 2026 da Verizon

Participe das discussões sobre as mais recentes ameaças cibernéticas com a equipe da Tenable Research Special Operations (RSO) no Tenable Connect.

Saiba mais sobre o Tenable One, a plataforma de gerenciamento de exposição para a superfície de ataque moderna.