Caça a Bugs com IA Dobra o Volume de CVEs e Redireciona o Foco para a Entrega de Patches

A base de dados pública de CVEs mantida pela CVE.icu registou 66 401 entradas em 16 de setembro de 2026, contra 33 512 na mesma data de 2025, segundo a Wired. Este salto representa quase o dobro de vulnerabilidades divulgadas num único ano, o que demonstra uma mudança de paradigma na forma como as falhas são identificadas e catalogadas.

O crescimento exponencial deve‑se, em grande parte, a agentes de descoberta autónomos que analisam bases de código, binários e repositórios de código aberto em escala massiva. O FIRST, organismo de coordenação dos identificadores de vulnerabilidades, prevê cerca de 66 000 entradas CVE para todo o ano de 2026 e atribui parte da aceleração a ferramentas impulsionadas por IA, que conseguem varrer milhões de linhas de código em minutos.

O Que Impulsiona os Números

Para além da IA, o crescimento reflete um efeito de recuperação, com falhas antigas não registadas a serem catalogadas retroactivamente e novas fontes de aconselhamento, como os GitHub Security Advisories e o VulnCheck, a alargar a sua cobertura e a publicar vulnerabilidades que antes permaneciam invisíveis.

A Mozilla revelou que a sua recente campanha de segurança, que utilizou o modelo Mythos da Anthropic, identificou 271 vulnerabilidades no Firefox. O esforço demonstra como os grandes modelos de linguagem podem complementar técnicas tradicionais de fuzzing e revisão de código, oferecendo insights que humanos demorariam dias a descobrir.

Produção de Patches Mantém o Ritmo

Os fornecedores respondem com um aumento notável nas correções publicadas. A Microsoft lançou 974 patches em setembro, a Oracle emitiu 1 448 actualizações em julho e a Google lançou duas versões maiores do Chrome, totalizando 1 072 patches em junho, conforme reportado pela Wired. Estes números revelam uma corrida para reduzir a janela de exposição.

• Microsoft – 974 patches (Setembro 2026)
• Oracle – 1 448 patches (Julho 2026)
• Google Chrome – 1 072 patches (Junho 2026)
• Mozilla – 271 vulnerabilidades descobertas via Mythos

Estes números ilustram que, embora a descoberta acelere, a remediação continua a ser um processo intensivo em recursos humanos. A coordenação de divulgações, a testagem de patches e a sua entrega aos utilizadores finais ainda dependem de engenheiros qualificados e de equipas de resposta bem orquestradas.

Riscos Operacionais do Gap Descoberta‑Remediação

O principal risco para as organizações não é o número absoluto de CVEs, mas o atraso entre a deteção automatizada e o tempo necessário para desenvolver, testar e implementar patches. Um backlog de vulnerabilidades não resolvidas pode alargar a janela de exposição dos ativos críticos e criar oportunidades para atores maliciosos.

Além disso, o maior volume de falhas conhecidas aumenta a carga de trabalho dos centros de operações de segurança, que têm de triage de alertas, verificar a explorabilidade e priorizar a remediação dentro de prazos mais apertados, muitas vezes com equipas já sobrecarregadas.

Embora a proporção de CVEs activamente explorados ou de alta gravidade continue a ser apenas uma fração do total, a pressão sobre os responsáveis por validar, coordenar e distribuir correções intensificou‑se, tensionando os níveis atuais de pessoal de segurança e exigindo novos fluxos de trabalho automatizados.

O painel da CVE.icu, atualizado a cada seis horas e contendo mais de 300 000 entradas ao longo de vinte‑oito anos, oferece visibilidade quase em tempo real, mas também evidencia a escala crescente do ecossistema de vulnerabilidades, forçando as equipas a filtrar e priorizar informações de forma mais eficaz.

Estratégias de Resiliência para Portugal

Para organizações portuguesas, a implicação prática é uma mudança na estratégia de segurança: o investimento deve deslocar‑se de ferramentas focadas apenas na deteção para a gestão automatizada de patches, pipelines de integração contínua que incorporem testes rápidos e uma coordenação mais robusta com os avisos dos fornecedores.

Construir resiliência agora significa garantir que a capacidade humana e processual para aplicar correções acompanhe o ritmo de descoberta impulsionado pela IA, através de formação especializada, parcerias com fornecedores e a adoção de plataformas de orquestração de vulnerabilidades.

Em última análise, a capacidade de transformar a avalanche de CVEs em melhorias reais de segurança dependerá da sinergia entre a inteligência artificial que descobre as falhas e os processos humanos que as mitigam, um desafio que as empresas portuguesas precisam enfrentar com urgência.