CVE: o que é Common Vulnerabilities and Exposures

Autor: Pedro Tebaldi PM do KeepGreen

Publicado jun/2026Atualizado set/2026

CVE é a sigla de Common Vulnerabilities and Exposures. É o identificador público e único que o programa da MITRE atribui a cada falha conhecida em software, hardware ou firmware. O formato é CVE-AAAA-NNNN. Assim, ele vira referência comum entre fabricantes, pesquisadores, scanners e times de operação.

O identificador diz qual é a falha. Ele não diz o que corrigir primeiro. É nesse ponto que a maioria das filas de patch erra.

Medimos o catálogo da CISA em 3 de setembro de 2026. Das 1.694 CVEs sob exploração confirmada, 1.090 ficam abaixo de 9,0 no CVSS. Portanto, quem prioriza só pela nota deixa 64% do ataque real fora da fila.

Neste guia, você entende o que é CVE, como ler o identificador, o que a pontuação CVSS mostra e o que ela esconde.

O que é CVE e qual o objetivo do programa

O CVE: Common Vulnerabilities and Exposures é o catálogo público que reúne esses identificadores. A iniciativa começou em 1999, mantida pela MITRE Corporation com apoio do governo dos Estados Unidos.

O objetivo do programa é simples: garantir que todos no ecossistema de segurança falem a mesma língua. Antes do CVE, um mesmo bug podia receber cinco nomes diferentes (um por fornecedor), o que travava correlação, priorização e auditoria.

Em 3 de setembro de 2026, a National Vulnerability Database devolvia 367.566 registros CVE publicados, já descontados os rejeitados. A base canônica desses registros vive no catálogo oficial do programa CVE.

Além disso, cada entrada vira referência cruzada em scanners, boletins de patch, ferramentas de SIEM e relatórios de compliance. O glossário de cybersecurity da OpServices cobre o mesmo terreno.

Em resumo, a sigla nomeia ao mesmo tempo o programa internacional e cada identificador individual atribuído por ele. Por isso, ler “CVE-2021-44228” significa apontar para uma falha específica catalogada nesse sistema.

Como o sistema CVE funciona: MITRE, CNAs e ciclo de vida

A MITRE Corporation administra o programa, mas não opera tudo sozinha. A lista oficial de parceiros trazia 544 organizações autorizadas em 3 de setembro de 2026. São as CNAs (CVE Numbering Authorities), que assumem a operação do dia a dia.

Fornecedores como Microsoft, Red Hat, Cisco e Google são CNAs, assim como times de bug bounty e CERTs nacionais. Duas CNAs ficam no Brasil: a FULL INTERNET e a senhasegura.

Cada CNA recebe um bloco de IDs e, dessa forma, pode reservar entradas dentro do seu escopo. Por exemplo, a Microsoft cataloga falhas em seus próprios produtos. A Red Hat trata bugs em pacotes do Linux que ela distribui. Como resultado, esse modelo acelera o ritmo do programa, que hoje publica milhares de novos identificadores por mês.

Ciclo de vida do registro

Toda entrada passa por estados bem definidos. Conforme a investigação avança, o ID transita entre RESERVED, PUBLIC, REJECTED e DISPUTED. Esses status mudam como ferramentas downstream tratam a vulnerabilidade.

RESERVED: o ID já foi atribuído, mas os detalhes técnicos permanecem sob embargo até a correção sair. PUBLIC: a entrada virou pública, com descrição, fornecedor afetado e referências. REJECTED: o ID foi descartado, geralmente porque não se confirmou como falha real. DISPUTED: fabricante e pesquisador discordam sobre se o comportamento é mesmo uma vulnerabilidade.

Você pode acompanhar todo esse fluxo no programa oficial da MITRE Corporation, que publica a base canônica do catálogo.

Anatomia de um identificador CVE

Todo identificador segue o formato CVE-AAAA-NNNN, mas vale entender o que cada parte significa de verdade. A leitura correta evita interpretações erradas em relatórios e dashboards.

CVE: prefixo fixo que indica o sistema de origem. AAAA: ano em que o ID foi reservado, não necessariamente o ano em que a falha foi descoberta ou explorada. NNNN: número sequencial, sem semântica embutida. O sequencial pode ter 4, 5, 6 ou mais dígitos conforme o volume de IDs do ano.

Por exemplo, CVE-2021-44228 aponta para a famosa Log4Shell, reservada em 2021 com sequencial 44228. Já CVE-2014-0160 é a Heartbleed, que afetou o OpenSSL há mais de uma década e segue ativa em sistemas legados sem patch.

Muita gente tropeça no mesmo ponto: o ano do ID não coincide sempre com o ano da divulgação. A API pública da MITRE devolve as duas datas, sem pedir cadastro:

# o registro canonico, sem cadastro e sem chave de API
curl -s https://cveawg.mitre.org/api/cve/CVE-2024-40891 | jq .cveMetadata

{
  "state": "PUBLISHED",
  "cveId": "CVE-2024-40891",
  "assignerShortName": "Zyxel",
  "dateReserved": "2024-07-11T17:35:29.595Z",
  "datePublished": "2025-02-04T10:02:48.018Z"
}

Compare as duas datas. A CVE-2024-40891, uma falha em roteadores Zyxel, passou 208 dias entre a reserva e a publicação. Conferimos 60 entradas recentes do catálogo da CISA em 3 de setembro de 2026. Em 24 delas, o ano do identificador não bate com o ano da publicação.

Vulnerabilidade × exposição: a diferença que muda a remediação

O nome do programa inclui dois conceitos diferentes. Essa distinção tem consequência prática: confundir os dois leva a SLAs e respostas operacionais equivocadas.

Vulnerabilidade é uma falha explorável: algo que um atacante usa diretamente para executar código, escalar privilégios, vazar dados ou interromper serviço. Estouro de buffer, injeção de SQL e desserialização insegura entram nessa categoria. O remédio típico é patch ou correção de código.

Exposição é uma configuração ou estado que não é exploit direto, mas facilita ataque. Pense num banco de dados sem autenticação em porta aberta na internet. Ou num bucket S3 público com dados sensíveis, ou numa chave de API esquecida no repositório Git. O remédio aqui é mudança de configuração, não patch de software.

Em outras palavras, a vulnerabilidade vive no código. A exposição vive na operação. Por isso, times maduros tratam as duas frentes em paralelo, com ferramentas e SLAs distintos, como reforça a análise de vulnerabilidade estruturada.

CVE × CVSS: o que cada sistema faz

CVE e CVSS aparecem juntos em quase todo boletim de segurança, mas fazem coisas diferentes. O CVE identifica a falha. O CVSS, o sistema de pontuação de vulnerabilidades mantido pela FIRST, mede a severidade dela.

A MITRE administra o catálogo CVE. A FIRST (Forum of Incident Response and Security Teams) mantém o padrão CVSS. Uma vulnerabilidade nasce com um ID CVE e, em pouco tempo, recebe a pontuação da NVD ou do próprio fornecedor.

Como funciona a pontuação CVSS

O CVSS atribui uma nota de 0,0 a 10,0 calculada a partir de um vetor com múltiplas métricas. A pontuação tenta refletir o quão grave seria a exploração da vulnerabilidade no pior cenário razoável.

A versão 3.1 ainda domina o mercado, mas a 4.0 (lançada em novembro de 2023) já aparece em registros mais recentes. Ambas usam três grupos de métricas. O grupo base mede as características intrínsecas da falha. O temporal cobre maturidade do exploit e disponibilidade de patch. O ambiental pesa a criticidade do ativo no seu contexto.

O vetor base considera o caminho do ataque (rede, adjacente, local ou físico), a complexidade, os privilégios necessários e a interação do usuário. Ele soma a isso o escopo e o impacto em confidencialidade, integridade e disponibilidade.

Além disso, a versão 4.0 acrescentou métricas para ataques contra sistemas seguros, automação de exploração e impacto em sistemas adjacentes.

Vale dizer que a tabela acima é referência, não receita. O contra-exemplo cabe numa consulta. Rodamos a mesma checagem em duas CVEs nas quatro fontes públicas, em 3 de setembro de 2026:

# as quatro fontes numa consulta: MITRE, NVD, CISA KEV e FIRST EPSS
node consulta-cve.js CVE-2021-26085

CVE-2021-26085
  MITRE  estado PUBLISHED  reservada 2021-01-25  publicada 2021-08-03
  NVD    CVSS 5.3 MEDIUM  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
  EPSS   99.94% em 30 dias  percentil 100.0
  KEV    SIM desde 2022-03-28  ransomware: Known

node consulta-cve.js CVE-2021-44228

CVE-2021-44228
  MITRE  estado PUBLISHED  reservada 2021-11-26  publicada 2021-12-10
  NVD    CVSS 10 CRITICAL  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
  EPSS   100.00% em 30 dias  percentil 100.0
  KEV    SIM desde 2021-12-10  ransomware: Known

Repare no que a nota esconde. A falha do Confluence marca 5,3, ou seja “Média”, que a tabela acima manda tratar em 30 dias. No entanto, ela está no catálogo de exploração ativa desde março de 2022. Aparece em campanha de ransomware e tem 99,94% de chance de exploração nos próximos 30 dias.

Cada empresa precisa calibrar os SLAs ao próprio contexto. Para o detalhe do cálculo, consulte a documentação oficial do CVSS pela FIRST.

Onde consultar CVEs: NVD, CISA KEV e EPSS

A base oficial vive em cve.org, mas a maioria dos times consulta fontes derivadas. Cada uma resolve uma pergunta diferente do ciclo operacional.

Todas as quatro fontes desta seção respondem por API pública. Nenhuma delas pede conta, chave ou login. As consultas deste artigo rodaram assim em 3 de setembro de 2026.

A NVD (National Vulnerability Database), mantida pelo NIST, enriquece cada entrada CVE com pontuação CVSS, vetor, fornecedor afetado, versões impactadas e referências. É o lugar para entender o detalhe técnico. Já a CISA KEV (Known Exploited Vulnerabilities) filtra apenas vulnerabilidades com exploração ativa observada. Essa é a lista que decide priorização imediata.

Por fim, o EPSS (Exploit Prediction Scoring System) estima a probabilidade de uma CVE ser explorada nos próximos 30 dias, com base em dados históricos. Combinando essas três fontes, o time prioriza com base em gravidade (CVSS), exploração real (KEV) e probabilidade futura (EPSS).

 
Cruzar as três fontes muda o tamanho da fila. Baixamos o catálogo da CISA e comparamos cada entrada com a nota da NVD:

# catalogo CISA KEV 2026.09.02 cruzado com a NVD em 03/09/2026

CVEs sob exploracao confirmada ............. 1694
  CVSS 9,0 ou mais .........................  604
  CVSS de 7,0 a 8,9 ........................  898
  CVSS de 4,0 a 6,9 ........................  188
  CVSS abaixo de 4,0 .......................    4
  ficam fora de um corte em 9,0 ............ 1090  (64,3%)

# a armadilha: filtrar pela severidade da propria NVD devolve 486,
# nao 604. A NVD so pontuou 1286 das 1694; as outras 408 tem
# apenas a nota publicada pelo proprio fornecedor.

Na prática, a leitura é direta. A NVD pontuou 30.545 CVEs em 9,0 ou mais. Dessas, só 486 aparecem no catálogo de exploração ativa, 1,6% do total. Por isso, perseguir toda nota alta enche a fila com 30 mil itens e ainda deixa de fora 1.090 falhas sob ataque.

Ainda assim, nenhum sinal isolado resolve. O EPSS de 406 das 1.694 CVEs do catálogo fica abaixo de 0,10, então quem filtrar só por probabilidade também perde alvo real.

Como integrar CVE ao monitoramento e patch management

Conhecer o sistema CVE é meio caminho. O outro meio amarra tudo ao fluxo operacional, para que o tempo entre disclosure e remediação caia de meses para horas.

Tudo começa por inventariar a superfície de ataque. Agentes em servidores, scanners de container, SBOM (Software Bill of Materials) e CMDBs alimentam um catálogo do que roda em produção. Em seguida, ferramentas correlacionam esse inventário com feeds de CVE.

Pipeline operacional típico

O fluxo recomendado tem cinco etapas claras. Primeiro, descoberta contínua de ativos. Depois, correlação de versão instalada × CVE conhecido. Em seguida, enriquecimento com CVSS + KEV + EPSS para priorizar. Automação de resposta com SOAR abre tickets, isola host ou aplica patch. Por fim, telemetria contínua do tempo entre detecção e remediação.

Em que ordem consultar cada sinal

Os números medidos mais acima sustentam uma ordem de leitura. Vale dizer que o CVSS entra por último em vez de primeiro, porque responde a pergunta menos urgente das quatro.

 
Ou seja, essa ordem não substitui a faixa de CVSS: ela decide quem fura a fila. Uma falha de nota 5,3 que já aparece em campanha de ransomware vale mais atenção que uma nota 9,8 sem exploração conhecida em ativo interno.

O monitoramento de sistemas em tempo real fecha o loop. Quando uma CVE crítica aparece, alertas de TI direcionados acionam o plantão sem esperar varredura agendada. Como resultado, a janela de exposição cai de semanas para horas e reforça a postura de cyber security.

CVEs notáveis e o que cada uma ensinou

Casos famosos viraram aula prática sobre como o sistema funciona e sobre o que dá errado quando o ciclo de remediação falha. Três deles marcaram a década.

Cada caso reforça um ponto: o problema raramente está só na falha em si. Ele está em quanto tempo a organização leva para descobrir que está exposta. Depois disso, conta quanto leva para responder na urgência que os três sinais indicam.

Conclusão

O programa CVE virou infraestrutura silenciosa da segurança digital. Cada identificador conecta fabricantes, pesquisadores, scanners e times de operação em torno de uma mesma referência, sem ambiguidade. Sem ele, a defesa moderna seria impraticável em escala.

Entender o sistema, no entanto, é metade do trabalho. A outra metade transforma esse conhecimento em rotina. Ou seja: inventário atualizado, correlação contínua com feeds de CVE, priorização por KEV, EPSS e CVSS, automação no ciclo de patch.

Em última análise, o que diferencia times maduros é a velocidade entre o “uma nova CVE foi publicada” e o “nosso ambiente está corrigido”. Se você quer reduzir essa janela de exposição com monitoramento contínuo, correlação de eventos e SLAs mensuráveis, fale com um especialista OpServices.