CISA alerta que falhas exploradas atualmente deveriam ter sido eliminadas há décadas

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) voltou a cobrar dos fabricantes de software a adoção de práticas de Secure by Design após identificar que vulnerabilidades conhecidas há décadas continuam entre as mais exploradas por hackers.

Em uma análise de vulnerabilidades registradas em 2024 e 2025, a agência constatou que grande parte das falhas que recebem identificadores CVE e posteriormente entram no catálogo Known Exploited Vulnerabilities (KEV) pertence a classes de problemas antigas e amplamente documentadas, que poderiam ser evitadas durante o desenvolvimento do software.

Entre os problemas mais frequentes aparecem vulnerabilidades relacionadas a injeção, incluindo cross-site scripting (XSS), classificada como CWE-79; injeção de comandos do sistema operacional (CWE-78); e SQL injection (CWE-89).

A validação inadequada de entradas (CWE-20) também se destacou e foi apontada como a categoria de fraqueza mais comum tanto entre CVEs registrados quanto no catálogo KEV. Segundo a CISA, invasores continuam obtendo sucesso, em parte, porque problemas simples e evitáveis permanecem sem solução.

Os dados reforçam um problema que acompanha a indústria de software há quase duas décadas. Em 2007, a MITRE publicou uma análise sobre vulnerabilidades consideradas "imperdoáveis", caracterizadas por erros comuns e conhecidos, com caminhos de ataque evidentes, exploração relativamente simples e falhas que podem ser encontradas rapidamente.

Outro estudo da MITRE, publicado em 2023, classificou determinadas categorias como "stubborn weaknesses", ou fraquezas persistentes, justamente por continuarem aparecendo repetidamente em softwares modernos apesar de existirem técnicas conhecidas para evitá-las.

A análise da CISA mostra que, em 2024, sete das dez categorias CWE mais frequentes entre os CVEs faziam parte desse grupo de fraquezas persistentes. No catálogo KEV, sete das dez categorias mais comuns também pertenciam a essa classificação e representavam 41,5% das vulnerabilidades analisadas.

Três das cinco categorias mais frequentes no KEV estavam relacionadas a problemas que deveriam ter sido eliminados há anos: validação inadequada de entradas (CWE-20), path traversal (CWE-22) e injeção de comandos do sistema operacional (CWE-78).

O cenário permaneceu semelhante em 2025. Segundo a CISA, sete das dez principais categorias CWE daquele ano estavam entre problemas já classificados como "imperdoáveis" em 2007. Três das dez categorias mais frequentes atualmente já teriam recebido essa classificação há quase 20 anos.

Para a agência, a permanência dessas falhas indica que o principal obstáculo não é necessariamente a complexidade técnica. O problema estaria relacionado à cultura organizacional, aos processos utilizados pelas equipes de desenvolvimento e às lacunas na adoção sistemática de práticas de Secure by Design.

As avaliações de risco e vulnerabilidade realizadas pela própria CISA em organizações também encontraram resultados semelhantes. Problemas relacionados à segurança de memória e à validação inadequada de entradas continuam entre os caminhos mais confiáveis para exploração. Essas categorias representaram 16,7% das entradas do catálogo KEV em 2025.

Embora vulnerabilidades de injeção apareçam com frequência entre os CVEs publicados, a CISA observa que elas são proporcionalmente menos exploradas em ambientes de organizações com maior maturidade em cibersegurança.

A recomendação da agência é transferir parte da responsabilidade pela segurança dos clientes para os próprios fabricantes. Em vez de depender continuamente de grandes pacotes de correções, fornecedores deveriam eliminar classes inteiras de vulnerabilidades ainda durante as etapas de projeto e desenvolvimento.

Dentro da abordagem Secure by Design, isso significa assumir responsabilidade pelos resultados de segurança dos produtos, eliminar fraquezas conhecidas e ampliar a automação de configurações seguras, monitoramento e atualizações.

A CISA também recomenda que compradores de software priorizem fornecedores que adotem esses princípios e utilizem Software Bills of Materials (SBOMs), documentos que detalham os componentes utilizados em um software e ajudam organizações a acompanhar riscos relacionados à cadeia de suprimentos.

Para a agência, reduzir ataques não depende apenas de reagir mais rapidamente aos hackers. A estratégia passa por corrigir as falhas fundamentais que os invasores exploram repetidamente e tratar o risco cibernético também como risco de negócio, ameaça à segurança nacional e fator que afeta a resiliência operacional.