Análise prevê mais vulnerabilidades em 2025

Uma nova análise prevê que o número de vulnerabilidades relatadas atingirá recorde em 2025, continuando a tendência do aumento dos riscos de segurança cibernética e aumento de divulgações de vulnerabilidades.

Análise por primeiro

A análise foi publicada pelo Fórum de Resposta a Incidentes e às equipes de segurança (Primeiro), uma organização global que ajuda a coordenar as respostas de segurança cibernética. Ele prevê quase 50.000 vulnerabilidades em 2025, um aumento de 11% em relação a 2024 e um aumento de 470% em relação a 2023. O relatório sugere que as organizações precisam mudar de medidas de segurança reativas para uma abordagem mais estratégica que prioriza as vulnerabilidades com base em riscos, planejando os esforços eficientes e a preparação para a divulgação de investimentos em vez de

Por que as vulnerabilidades estão aumentando?

Existem três tendências que impulsionam o aumento das vulnerabilidades.

1. Descoberta acionada por IA e expansão de código aberto estão acelerando as divulgações da CVE.

A IA é a descoberta de vulnerabilidades, incluindo aprendizado de máquina e ferramentas automatizadas, está facilitando a detecção de vulnerabilidades em software, o que, por sua vez, leva a mais relatórios de CVE (vulnerabilidades e exposições comuns). A IA permite que os pesquisadores de segurança digitalizem quantidades maiores de código para identificar rapidamente falhas que passariam despercebidas usando métodos tradicionais.

O comunicado à imprensa destaca o papel da IA:

“Mais software, mais vulnerabilidades: a rápida adoção de software de código aberto e descoberta de vulnerabilidades orientada pela IA tornou mais fácil identificar e relatar falhas”.

2. Guerra cibernética e ataques patrocinados pelo Estado

Ataques patrocinados pelo Estado estão aumentando, o que, por sua vez, leva a mais desses tipos de vulnerabilidades sendo descobertas.

O comunicado de imprensa explica:

“Atividade cibernética patrocinada pelo Estado: os governos e os atores do Estado-nação estão cada vez mais envolvidos em operações cibernéticas, levando a mais fraquezas de segurança sendo expostas”.

3. Mudanças no ecossistema CVE

A PatchStack, uma empresa de segurança do WordPress, identifica e patches vulnerabilidades. Seu trabalho está aumentando o número de vulnerabilidades descobertas todos os anos. O PatchStack oferece detecção de vulnerabilidades e patches virtuais. A participação de Patchstack nesse ecossistema está ajudando a expor mais vulnerabilidades, particularmente aqueles que afetam o WordPress.

O comunicado de imprensa fornecido ao revista de mecanismo de pesquisa estados:

“Os novos colaboradores do ecossistema CVE, incluindo Linux e Patchstack, estão influenciando os padrões de divulgação e aumentando o número de vulnerabilidades relatadas. O PatchStack, que se concentra na segurança do WordPress, está desempenhando um papel na superfície das vulnerabilidades que poderiam ter passado despercebidas. À medida que o ecossistema CVE se expande, as organizações devem adaptar suas estratégias de avaliação de risco para explicar esse cenário em evolução. ”

Eireann Leverett, primeira ligação e membro principal da equipe de previsão de vulnerabilidades da First, destacou o crescimento acelerado das vulnerabilidades relatadas e a necessidade de gerenciamento proativo de riscos, afirmando:

“Para um site de comércio eletrônico pequeno e médio, patching vulnerabilidades normalmente significa contratar parceiros externos sob um SLA para gerenciar patches e minimizar o tempo de inatividade. Essas empresas geralmente não analisam cada CVE individualmente, mas devem antecipar demandas crescentes em seus fornecedores de TI de terceiros para manutenção planejada e não planejada. Embora possam não realizar avaliações detalhadas de riscos internamente, eles podem perguntar sobre os processos de gerenciamento de riscos que suas equipes de TI ou parceiros externos têm em vigor. Nos casos em que terceiros, como SoCs ou MSSPs, estão envolvidos, a revisão do SLAs nos contratos se torna especialmente importante.

Para empresas corporativas, a situação é semelhante, embora muitas tenham equipes internas que realizam avaliações de risco quantitativas mais rigorosas em um registro de ativos amplo (e às vezes incompleto). Essas equipes precisam estar equipadas para realizar avaliações de emergência e triagem vulnerabilidades individuais, geralmente diferenciando-se entre sistemas de missão crítica e não crítica. Ferramentas como o SSVC (https://www.cisa.gov/ssvc-calculator) e epss (https://www.first.org/epss/) podem ser usadas para informar a priorização do patch por meio de largura de banda, armazenamento de arquivos, elemento humano em manutenção e o elemento.

Nossas previsões são projetadas para ajudar as organizações a planejar estrategicamente os recursos um ano ou mais com antecedência, enquanto o SSVC e o EPSS fornecem uma visão tática do que é crítico hoje. Nesse sentido, a previsão de vulnerabilidades é como um almanaque que ajuda a planejar o seu jardim meses seguintes, enquanto um relatório meteorológico (via EPSS e SSVC) guia suas escolhas diárias de roupas. Por fim, tudo se resume a quão à frente você deseja planejar sua estratégia de gerenciamento de vulnerabilidades.

Descobrimos que os conselhos de diretores, em particular, apreciam o entendimento de que a maré das vulnerabilidades está aumentando. Uma tolerância a riscos claramente definida é essencial para impedir que os custos se tornem incontroláveis, e essas previsões ajudam a ilustrar a carga de trabalho e as implicações de custos de definir vários limiares de risco para os negócios. ”

Olhando para o 2026 e além

A primeira previsão prevê que mais de 51.000 vulnerabilidades serão divulgadas em 2026, sinalizando que os riscos de segurança cibernética continuarão aumentando. Isso ressalta a crescente necessidade de gerenciamento proativo de riscos, em vez de depender de medidas de segurança reativas.

Para usuários de software como o WordPress, existem várias maneiras de mitigar ameaças de segurança cibernética. Patchstack, Wordfence e Sucuri oferecem abordagens diferentes para fortalecer a segurança por meio de estratégias de defesa proativas.

Os principais tocadores são:

• As vulnerabilidades estão aumentando – primeiro prevê até 50.000 CVEs em 2025, um aumento de 11% em relação a 2024 e 470% de aumento de 2023.
• A IA e a adoção de código aberto estão impulsionando mais divulgações de vulnerabilidades.
• A atividade cibernética patrocinada pelo Estado está expondo mais fraquezas de segurança.
• Mudar da segurança reativa para proativa é essencial para o gerenciamento de riscos.

Leia a previsão de vulnerabilidade de 2025:

Previsão de vulnerabilidade para 2025

Imagem em destaque de Shutterstock/Gorodenkoff