O tempo médio entre a publicação de uma vulnerabilidade e sua confirmação como explorada caiu de 120 dias em 2025 para 80 dias no primeiro semestre de 2026, segundo o relatório “State of Exploitation 1H-2026“, publicado ontem pela VulnCheck. A análise identificou 495 vulnerabilidades conhecidas como exploradas (KEVs) no período, com 23,43% delas apresentando evidências de exploração no dia da publicação ou antes.
Exploração precoce e velocidade
O relatório, assinado por Patrick Garrity, mostra que, embora o percentual de KEVs exploradas no dia da publicação tenha caído em relação a 2025 (28,93%), a velocidade geral de exploração aumentou. Apesar do crescimento de 45% no volume total de CVEs no primeiro semestre, o número de vulnerabilidades exploradas nos primeiros 31 dias manteve-se estável em cerca de 200, indicando que a exploração precoce não está crescendo na mesma proporção que a emissão de CVEs.
A proporção de KEVs em relação ao total de CVEs publicados caiu para 1,4% no primeiro semestre de 2026, ante um pico de 2,7% no segundo semestre de 2023. Esse declínio ocorre mesmo com um aumento de 10% no número de KEVs em relação ao semestre anterior.
Tecnologias mais visadas
Sistemas de gerenciamento de conteúdo (CMS) foram o alvo mais frequente, respondendo por um terço de todas as KEVs no período – um percentual superior ao observado historicamente. A categoria inclui WordPress, Drupal, Ghost e Kentico Xperience. Dispositivos de borda de rede (Cisco, Palo Alto, Check Point, Fortinet) e sistemas operacionais também figuraram entre os principais alvos.
Ataques a produtos de IA
O relatório documenta 28 KEVs relacionadas a produtos de inteligência artificial no primeiro semestre. Em ataques contra LangFlow, os pesquisadores observaram exploração de CVE-2026-0769 e CVE-2026-5027 para roubo de credenciais de serviços como OpenAI e Claude, implantação de mineradores de criptomoedas e tentativas de movimento lateral. Nenhuma dessas vulnerabilidades foi adicionada à lista KEV da CISA.
Impacto da descoberta assistida por IA
Dos 1.061 CVEs atribuídos à descoberta assistida por inteligência artificial – incluindo o projeto Glasswing da Anthropic e a Berkeley Vulnerability Initiative –, apenas 14 (1,3%) tiveram confirmação de exploração ativa. Esse índice é semelhante à taxa geral de exploração de vulnerabilidades no período. A VulnCheck observou quatro dessas vulnerabilidades sendo atacadas em seus sistemas canary.
O relatório aponta que o projeto Glasswing, da Anthropic, gerou 23.019 achados, mas apenas 126 resultaram em CVEs publicados e somente um (CVE-2026-26980) foi confirmado como explorado até o momento da publicação. Garrity observa que o “ledger” de divulgação da Anthropic nunca cresceu além das 1.611 entradas iniciais e que mais de 150 descobertas já ultrapassaram seus prazos de divulgação sem atualizações.
