CISA propõe uma era da qualidade para o CVE em meio ao aumento das vulnerabilidades
Após anos de expansão do número de falhas catalogadas, a Cybersecurity and Infrastructure Security Agency (CISA), dos Estados Unidos, quer colocar a confiabilidade das informações no centro do programa CVE. A agência apresentou um novo framework para orientar essa mudança, que busca fortalecer a governança, aprimorar os dados publicados e preparar a infraestrutura para acompanhar o crescimento do volume de vulnerabilidades.
Anunciada em 22 de setembro, a proposta marca a passagem de uma fase dedicada sobretudo a ampliar a cobertura global para uma etapa chamada de “Quality Era”, ou “era da qualidade”. Na prática, a iniciativa pretende garantir que os registros sejam úteis, consistentes e acessíveis para as organizações que dependem deles na identificação e no tratamento de falhas.
O desafio cresce junto com a quantidade de vulnerabilidades descobertas. Mais de 67 mil CVEs haviam sido publicados em 2026 até 18 de setembro, segundo um levantamento citado no debate sobre o tema. A expansão de softwares, bibliotecas, serviços em nuvem e componentes de terceiros, somada ao uso de ferramentas automatizadas de descoberta, contribui para elevar esse volume. Com mais registros, aumenta também a necessidade de analisá-los e distribuí-los de forma clara e confiável.
Por que a qualidade de um CVE é importante
O CVE funciona como um identificador compartilhado por diferentes ferramentas e equipes de segurança. Fabricantes o associam a comunicados sobre produtos afetados; scanners usam o código para apresentar vulnerabilidades encontradas; plataformas de gestão relacionam as falhas aos ativos; e sistemas de inteligência acrescentam informações sobre exploração e ameaças.
Quando o registro é vago, incompleto ou difícil de relacionar a um produto e suas versões, os problemas podem se espalhar por toda essa cadeia. Uma ferramenta pode detectar uma falha sem que a organização consiga localizar todos os equipamentos afetados. Uma rotina automatizada pode classificar incorretamente uma versão, enquanto a equipe responsável pela correção toma decisões com informações insuficientes.
Mudanças posteriores em um registro também podem exigir que os dados sejam atualizados em diferentes sistemas. Quanto maior a dependência de processos automatizados, maior o impacto de uma informação incorreta ou ambígua na origem.
Isso não significa que o CVE, sozinho, determine o risco de uma falha. O identificador ajuda a organizar e correlacionar dados, mas a avaliação depende de outros fatores, como os sistemas atingidos, a exposição dos ativos, a existência de exploração ativa e as medidas de proteção já adotadas.
Quatro dimensões para evoluir o programa
O framework da CISA reúne quatro frentes. A primeira é a governança, que envolve aprimorar a qualidade e a velocidade das decisões, esclarecer responsabilidades e lidar com possíveis conflitos de interesse.
A segunda trata da participação do ecossistema. O programa depende de uma rede internacional de CVE Numbering Authorities (CNAs), entidades que atribuem identificadores e publicam registros. A capacidade e a diversidade dessa rede influenciam a cobertura e a consistência das informações.
A infraestrutura de dados é a terceira frente. O objetivo é sustentar o aumento da demanda, com atenção à disponibilidade dos serviços e ao desempenho das APIs usadas para consultar e integrar registros. Se o acesso aos dados falha ou fica lento, ferramentas e processos que dependem dessas informações também podem ser prejudicados.
A quarta dimensão é o conteúdo dos registros. Nesse aspecto, a proposta prevê atenção à qualidade das informações publicadas e às correções realizadas depois da divulgação. Um cadastro mais preciso facilita a identificação de produtos afetados e reduz interpretações divergentes.
A agência relaciona o framework a outras prioridades para o programa: ampliar parcerias, manter o patrocínio, modernizar a tecnologia, aumentar a transparência e aperfeiçoar os dados. Também inclui a evolução da função de CNA of Last Resort, destinada a atuar quando não há outra autoridade responsável por tratar determinado caso.
Por enquanto, a CISA não apresentou metas numéricas nem prazos públicos para cada indicador. O documento funciona como uma estrutura de orientação para a próxima etapa, e sua efetividade dependerá de como os objetivos serão convertidos em critérios práticos e acompanhados ao longo do tempo.
O que as organizações podem fazer desde já
Enquanto o programa evolui, empresas podem reduzir a dependência de um único campo ou fonte de informação. É recomendável combinar o CVE com comunicados dos fabricantes, dados sobre ativos, informações de exploração e avaliações internas de impacto. Essa abordagem ajuda a distinguir uma vulnerabilidade relevante para a organização de outra que não afeta seus sistemas.
Também é importante manter inventários atualizados de equipamentos, aplicações, versões e componentes de terceiros. Sem saber o que está em operação, mesmo um registro CVE preciso pode não ser suficiente para identificar a exposição real.
As equipes devem prever a revisão de dados corrigidos ou atualizados. Processos de segurança precisam permitir que uma alteração em um registro seja incorporada aos scanners, às ferramentas de gestão e aos fluxos de priorização, evitando que decisões continuem baseadas em informações desatualizadas.
Por fim, a automação deve ser acompanhada de validação e monitoramento. Automatizar a triagem e a distribuição de tarefas pode acelerar a resposta, mas também amplia o alcance de erros quando as regras se baseiam em dados incompletos. A supervisão humana e a confirmação das versões afetadas seguem essenciais.
A proposta da CISA parte de um princípio importante: publicar mais registros é útil, mas não basta. Para que a velocidade de identificação se transforme em proteção, os dados precisam ser compreensíveis, consistentes, acessíveis e corrigidos quando necessário. A qualidade do CVE pode não substituir a análise de risco, mas ajuda a torná-la mais precisa e a direcionar melhor o trabalho de correção.