Vulnerabilidades em ritmo recorde: o que os números de 2026 revelam

Em 2025, o mundo registrou cerca de 132 novas vulnerabilidades de software por dia. Em 2026, esse número passou de 300. O catálogo público de falhas, que já vinha batendo recordes ano após ano, mais que dobrou de ritmo em poucos meses, e os relatórios dos principais fabricantes de segurança mostram que os atacantes estão acompanhando essa velocidade.

Reunimos abaixo os números mais recentes de bases públicas e de fabricantes como Fortinet, Sophos, SonicWall, Google e Verizon. Todas as fontes estão listadas ao final.

O volume: mais CVEs em dez meses do que em dois anos

Cada vulnerabilidade divulgada publicamente recebe um identificador CVE e é registrada na National Vulnerability Database (NVD), mantida pelo governo dos Estados Unidos. Consultamos a base em 11 de novembro de 2026, desconsiderando os registros rejeitados:

• 2024: 39.953 vulnerabilidades publicadas.
• 2025: 48.150, um crescimento de 20,5% e o recorde até então.
• 2026, até 10 de novembro: 95.833. No mesmo período de 2025 haviam sido 40.628, ou seja, o ritmo atual é 2,4 vezes maior.

Só o terceiro trimestre de 2026 somou 36.953 registros, quase o total de 2024 inteiro. Faltando sete semanas para o fim do ano, 2026 já acumula praticamente o dobro de todo o ano de 2025.

Vale uma ressalva importante: mais registros não significam, na mesma proporção, mais risco. A FIRST, organização internacional de resposta a incidentes, atribui o salto principalmente à descoberta de falhas com apoio de inteligência artificial e à ampliação do trabalho de catalogação. Parte do que aparece agora já existia e apenas não era contado. Ainda assim, cada item novo é algo que alguém precisa avaliar, priorizar e corrigir.

O que de fato está sendo explorado

A lista que mais importa para o dia a dia é menor. A agência de cibersegurança dos Estados Unidos (CISA) mantém o catálogo KEV, que reúne apenas as vulnerabilidades com exploração confirmada em ataques reais. Na versão de 10 de novembro de 2026, o catálogo tinha 1.779 entradas, e o ritmo de inclusões também subiu:

• 2024: 186 inclusões.
• 2025: 245 inclusões.
• 2026, até 10 de novembro: 295 inclusões, 36% acima das 217 do mesmo período de 2025.

O Google Threat Intelligence Group contou 90 falhas de dia zero exploradas em 2025, contra 78 em 2024. Dia zero é a falha usada em ataques antes de existir correção. Quase metade delas (43) atingiu tecnologias corporativas, e 21 estavam justamente em produtos de segurança e de rede.

O que dizem os fabricantes de firewall

Fortinet

O Global Threat Landscape Report 2026, do FortiGuard Labs, registrou alta de 25,49% nas tentativas de exploração de vulnerabilidades em um ano. O dado que mais chama atenção é o tempo: nas falhas críticas, o intervalo entre a divulgação e os primeiros ataques caiu para 24 a 48 horas. Em relatórios anteriores, esse intervalo era de 4,76 dias. O mesmo estudo identificou 7.831 vítimas confirmadas de ransomware, contra cerca de 1.600 na edição anterior, uma alta de 389%.

Sophos

O Active Adversary Report 2026 analisou 661 incidentes atendidos pelas equipes da Sophos. A exploração de vulnerabilidades foi a causa inicial de 16,04% deles, a segunda mais comum. A primeira, com 67,32%, foi o comprometimento de identidades, como senhas roubadas e acessos sem autenticação em dois fatores.

Dois números desse relatório merecem destaque. O tempo mediano entre a publicação de uma correção e a exploração da falha foi de 322 dias. E, entre os casos de exploração, 67,31% usaram uma mesma vulnerabilidade de firewall, a CVE-2024-40766, que tinha correção disponível desde agosto de 2024. Em outras palavras, a maior parte desses ataques entrou por uma porta que já podia estar fechada.

Na pesquisa State of Ransomware 2026, com 2.158 líderes de TI em 17 países, as vulnerabilidades exploradas responderam por 18% dos ataques de ransomware, 14 pontos percentuais a menos que no ano anterior. O custo médio de recuperação, porém, subiu 11% e chegou a US$ 1,7 milhão por incidente.

SonicWall

O Cyber Protect Report 2026 apontou crescimento de 20,8% nas tentativas de exploração classificadas como sérias ao longo de 2025.

Verizon

A Verizon não fabrica firewalls, mas seu Data Breach Investigations Report 2026 é a maior análise independente de violações de dados: mais de 22 mil casos confirmados em 145 países. Pela primeira vez, a exploração de vulnerabilidades apareceu como a principal porta de entrada, presente em 31% das violações. O uso de credenciais roubadas, líder anterior, ficou em 13%.

O relatório mostra também que as empresas estão ficando para trás: apenas 26% das vulnerabilidades do catálogo KEV foram totalmente corrigidas em 2025, contra 38% no ano anterior, e o tempo mediano de correção subiu de 32 para 43 dias.

O equipamento de borda virou alvo

Firewalls, VPNs e roteadores ficam expostos à internet por definição, e por isso são muito visados. O catálogo KEV traz hoje 103 falhas exploradas em produtos Cisco, 38 em Ivanti, 32 em Fortinet, 27 em Citrix, 20 em SonicWall, 16 em Palo Alto Networks, 7 em Sophos, 5 em Check Point e 4 em WatchGuard.

Esses números não medem a qualidade de cada produto. Refletem, em boa parte, o quanto cada fabricante é usado e estudado. A leitura correta é outra: nenhum equipamento de segurança dispensa manutenção. Um firewall instalado e esquecido deixa de ser proteção e passa a ser ponto de entrada.

O que os números dizem, juntos

• O volume é impossível de acompanhar manualmente. Com mais de 300 novas falhas por dia, ninguém consegue ler tudo. É preciso saber quais sistemas a empresa tem e filtrar o que realmente a afeta.
• A janela de reação encolheu. Nas falhas críticas, os ataques começam em um ou dois dias, enquanto a correção leva em mediana 43 dias.
• O risco maior está no que já tem correção. Os 322 dias da Sophos mostram que a maioria dos ataques explora falhas antigas, conhecidas e com atualização disponível.
• Atualizar não basta. Dois em cada três incidentes começam por identidades comprometidas. Autenticação em dois fatores e controle de acessos pesam tanto quanto as atualizações.

Por onde começar

1. Faça o inventário. Liste servidores, firewalls, roteadores, sistemas e serviços em nuvem, com versão e responsável. Não se protege o que não se conhece.
2. Priorize pelo que está sendo explorado. Use o catálogo KEV como primeiro filtro e comece pelo que está exposto à internet.
3. Defina prazos. Falhas críticas em equipamentos de borda devem ser corrigidas em dias. As demais entram em uma rotina mensal.
4. Acompanhe os avisos dos fabricantes. Fortinet, Sophos, SonicWall e os demais publicam boletins de segurança. Alguém precisa recebê-los e agir.
5. Ative a autenticação em dois fatores em VPN, e-mail e painéis administrativos, e remova contas que não são mais usadas.
6. Guarde os registros e teste o backup. Logs permitem perceber uma invasão a tempo, e uma cópia testada garante a volta da operação se o pior acontecer.

Uma rotina, não um projeto

Nenhum dos passos acima é complexo isoladamente. O difícil é mantê-los toda semana, enquanto a empresa cuida do próprio negócio. É esse acompanhamento contínuo que a 3xTI faz para os seus clientes, no trabalho de governança e segurança de dados e na gestão das VPS gerenciadas. Se quiser saber como está a exposição da sua empresa hoje, vamos conversar.

Fontes

• NIST, National Vulnerability Database: contagem de CVEs por data de publicação, sem registros rejeitados, consultada em 11/11/2026.
• CISA, Known Exploited Vulnerabilities Catalog: versão de 10/11/2026.
• FIRST, 2026 Vulnerability Forecast Update, junho de 2026.
• Fortinet, 2026 Global Threat Landscape Report, abril de 2026.
• Sophos, 2026 Active Adversary Report e State of Ransomware 2026.
• SonicWall, 2026 Cyber Protect Report.
• Verizon, 2026 Data Breach Investigations Report.
• Google Threat Intelligence Group, 2025 Zero-Days in Review, março de 2026.