As vulnerabilidades impulsionadas pela IA estão a reduzir o período de aplicação de correções e a exigir uma defesa mais rápida

A IA está a acelerar todas as fases do ciclo de vida das vulnerabilidades. As novas falhas estão a ser identificadas mais rapidamente e os atacantes estão a agir mais depressa do que nunca para as explorar após a sua divulgação. Duas notícias deste verão ilustram essa mudança.

A «Patch Tuesday» de julho de 2026 da Microsoft ficou na história como a maior atualização de segurança de sempre do programa, com um número recorde de 622 correções. Este número recorde de correções abrangeu o ecossistema do Windows, o Microsoft Office, o SharePoint, os serviços do Azure e o Visual Studio. As vulnerabilidades incluíram três vulnerabilidades «zero-day», duas das quais já estavam a ser exploradas ativamente.

Um relatório da revista Infosecurity Magazine destaca uma nova realidade: os modelos de IA estão a reduzir o intervalo de tempo entre a divulgação de uma vulnerabilidade e a sua exploração. A vulnerabilidade crítica React2Shell foi explorada por agentes maliciosos apenas um dia após a sua divulgação.

A ideia tradicional de que a «Patch Tuesday» disponibiliza um conjunto de atualizações fácil de gerir e previsível já não se verifica. Três grandes mudanças estão na origem desta evolução:

1. A IA está a detetar vulnerabilidades mais rapidamente do que nunca : a IA permite que as vulnerabilidades sejam detetadas muito mais rapidamente do que as equipas de segurança conseguem avaliar e priorizar manualmente.
2. Janela cada vez mais estreita entre a divulgação e a exploração: a mesma automação que ajuda investigadores e fornecedores a detetar falhas mais rapidamente está também ao alcance dos atacantes, que já estão a utilizar ferramentas de IA para orquestrar campanhas de exploração e identificar alvos em grande escala. A transformação em arma ocorre agora em horas, e não em dias ou semanas.
3. A deteção de vulnerabilidades à velocidade da IA requer deteção e correção à velocidade da IA: se a deteção crescer exponencialmente e a aplicação de correções continuar a ser manual, o fosso entre as vulnerabilidades divulgadas e as corrigidas só irá aumentar.
4. Os atacantes estão cada vez mais a explorar vulnerabilidades em cadeia: as vulnerabilidades podem resultar da combinação de várias falhas de segurança, exatamente o tipo de padrão que os atacantes, com o auxílio da IA, são especialistas em identificar.

Um fluxo de trabalho gerido manualmente nunca foi concebido para colmatar uma lacuna de 24 horas em centenas de terminais e centenas de CVEs na mesma versão. A gestão de patches já não é apenas um desafio de fluxo de trabalho. É um desafio de escala. Tentar classificar manualmente mais de 600 CVEs em ambientes Windows, Office, SQL Server, SharePoint e Azure já não é viável. As organizações precisam de uma solução automatizada, inteligente e escalável.

Se os atacantes estiverem a agir à velocidade da IA, as capacidades de proteção da ciberdefesa têm de acompanhar o seu ritmo, redefinindo o que constitui uma boa gestão de correções:

• A visibilidade tem de ser contínua, não periódica. Não é possível responder a uma janela de exploração de 24 horas se a última verificação dos ativos tiver sido há três semanas.
• Os pontos cegos do inventáriotornam-se um riscocrítico . As organizações não conseguem aplicar correções aos ativos que não conseguem identificar, deixando expostos os terminais não geridos e aqueles que executam software desatualizado.
• A definição de prioridades tem de ser automatizada. Com centenas de CVEs a surgirem ao mesmo tempo, a classificação manual da gravidade não consegue acompanhar o ritmo dos atacantes, que já estão a testar exploits contra essa mesma lista. As equipas de segurança precisam de uma pontuação automatizada da gravidade e da explorabilidade para saberem quais as correções que não podem esperar 48 horas, como as vulnerabilidades do BitLocker e do AD FS de julho.
• A implementação tem de ser rápida e verificável. Saber que existe uma correção não significa proteção. Só se torna efetiva quando se confirma que foi instalada em todos os terminais expostos, incluindo aqueles que o departamento de TI nem sempre se lembra de verificar.
• A discrepância entre a divulgação e a correção é agora o principal indicador de risco. Já não se trata de saber se existe uma correção, mas sim de quanto tempo a sua organização demora a aplicá-la. Isto tem de ser medido em horas, e não em semanas. O aumento repentino do número de vulnerabilidades também faz com que os atrasos na aplicação de correções sejam o risco habitual, em vez de uma exceção, prolongando o período de exposição à medida que os atrasos acumulados aumentam.

As «terças-feiras de atualizações» que batem recordes e a exploração de vulnerabilidades em 24 horas não são acontecimentos isolados. São o início de uma nova realidade. As organizações que encaram a gestão de atualizações como uma tarefa manual e periódica que exige uma corrida contra o tempo continuarão a ficar para trás. Estes números recorde na descoberta e exploração de vulnerabilidades tornam necessária a automatização do ciclo de vida das vulnerabilidades, desde a descoberta e priorização até à implementação. Isto ajuda as organizações a prepararem-se para absorver lançamentos que batem recordes sem recorrerem a medidas de gestão de crises.

Isso significa passar de uma abordagem do tipo «aplicar correções quando for possível» para um processo contínuo e automatizado. Esta abordagem inclui visibilidade em tempo real de todos os terminais, uma priorização baseada no risco que destaca as CVEs mais importantes e uma implementação que não depende de agendamento manual.