Em setembro de 2026, uma equipa de segurança que ainda trate a National Vulnerability Database (NVD) como fonte única de verdade está a trabalhar com dados incompletos. Desde abril, a NIST deixou de tentar enriquecer todos os CVE que recebe e passou a dar prioridade a um grupo reduzido de falhas. Ao mesmo tempo, o catálogo Known Exploited Vulnerabilities (KEV) da CISA ultrapassou as 1.700 entradas confirmadas como exploradas ativamente, e a agência vai encerrar o seu boletim semanal a 28 de setembro. Entretanto, uma nova geração de portais privados combina CVSS, EPSS e SSVC para preencher os espaços em branco deixados pela NVD.
Este artigo compara as três fontes, NVD, CISA KEV e portais privados de CVE apoiados em EPSS e SSVC, com dados publicados nos últimos meses, uma tabela de preços real e um guia prático para equipas que precisam de decidir onde investir tempo de triagem e orçamento. Nenhuma das três é gratuita em termos de esforço: cada uma exige um tipo diferente de trabalho de quem gere a segurança.
Para uma equipa portuguesa, a escolha já não é apenas técnica. Empresas abrangidas pela NIS2 têm de justificar, perante auditores, que fonte usaram para decidir a urgência de um patch, e um CVE sem CVSS nem CPE na NVD já não serve como justificação sozinho. Ao longo deste artigo cruzamos os números publicados pela NIST, pela CISA e por investigadores independentes para mostrar onde cada fonte falha, onde compensa e quanto custa preencher as lacunas com uma plataforma comercial.
O que mudou na NVD em 2026
A National Vulnerability Database, mantida pela NIST, foi durante quase duas décadas o ponto de partida obrigatório para quem geria vulnerabilidades. Em 15 de abril de 2026, a NIST anunciou formalmente que ia abandonar o objetivo histórico de analisar por completo todos os CVE submetidos. Em vez disso, adotou um modelo de triagem baseado em risco, reservando o enriquecimento total de metadados (CVSS, CPE e CWE) a apenas três categorias de CVE: os que constam do catálogo CISA KEV, os que afetam software usado pelo governo federal dos EUA, e os classificados como software crítico ao abrigo da Ordem Executiva 14028.
A consequência prática é grande. Analistas da Cloud Security Alliance e da consultora Tamnoon estimam que apenas entre 15% e 20% do volume anual de CVE recebe agora enriquecimento completo na NVD, enquanto os restantes cerca de 80% ficam listados sem CPE, sem pontuação CVSS própria da NIST e sem classificação CWE detalhada. Cerca de 29.000 CVE publicados antes de 1 de março de 2026 e ainda não analisados foram reclassificados como “Not Scheduled”, o que significa que só recebem atenção se alguém pedir explicitamente.
Para perceber a dimensão da mudança, vale lembrar o que a NVD representava até 2025: era a base à qual praticamente todos os scanners de vulnerabilidades do mercado se ligavam para obter CPE (as configurações de software afetadas) e a pontuação CVSS oficial. Um CVE “Not Scheduled” não desaparece do sistema, mas fica praticamente invisível para qualquer ferramenta que dependa de metadados estruturados para automatizar a triagem. Na prática, uma equipa que use apenas regras baseadas em CVSS da NVD para decidir o que corrigir primeiro passa a ignorar, por omissão, quatro em cada cinco vulnerabilidades novas.
Nem tudo mudou para pior. A NIST aproveitou a reestruturação para acrescentar funcionalidades novas à página de detalhe de cada CVE, incluindo a lista de configurações afetadas e a pontuação SSVC (Stakeholder-Specific Vulnerability Categorization). A API pública da NVD ganhou também dois parâmetros novos, kevStartDate e kevEndDate, que permitem filtrar diretamente por CVE incluídos no catálogo KEV num intervalo de datas. Isto cria, pela primeira vez, uma ponte oficial entre a NVD e o trabalho da CISA.
curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?kevStartDate=2026-09-01T00:00:00.000&kevEndDate=2026-09-17T00:00:00.000" \
| jq '.vulnerabilities[].cve.id'Para uma equipa pequena, este comando resolve metade do problema: mostra apenas os CVE que a CISA já confirmou como explorados dentro de uma janela de tempo específica, sem obrigar ninguém a percorrer o catálogo completo à mão. A outra metade do problema, o que fazer com os CVE que ficaram fora dessa janela, é exatamente o que as próximas secções deste artigo tentam responder.
CISA KEV: de lista de exploração ativa a pilar central
O catálogo Known Exploited Vulnerabilities nasceu com uma regra simples: só entram CVE com evidência confirmada de exploração real, sem cronograma fixo de publicação. Uma vulnerabilidade pode ficar meses sem entrar no KEV e depois ser adicionada de um dia para o outro, assim que a CISA confirma um ataque ativo. Em 17 de setembro de 2026, um rastreador independente que agrega dados de NVD, CISA, CERT-FR, MSRC e GHSA contabilizava 393.963 CVE no total, dos quais 1.713 estavam marcados no catálogo KEV e 17.386 tinham uma pontuação EPSS igual ou superior a 10%.
O ritmo de adições continua elevado. Entre 7 e 13 de setembro de 2026, a CISA acrescentou 14 CVE ao catálogo, nove dos quais com prazo federal de remediação de apenas três dias, a expirar a 14 de setembro. Poucos dias antes, entre 2 e 4 de setembro, tinha entrado o CVE-2026-85046, uma falha de confusão de tipos no motor V8 do Chromium, com prazo federal fixado para 18 de setembro. A entrada mais recente antes do fecho desta análise foi o CVE-2026-87886, que afeta o Acronis Backup, adicionado a 16 de setembro com prazo de remediação a 19 de setembro.
O que distingue o KEV de uma simples lista de CVE graves é o critério de admissão. A CISA só acrescenta uma entrada depois de confirmar exploração real, não apenas exploração teórica ou prova de conceito publicada por um investigador. Isto torna o catálogo pequeno, mas também torna cada entrada um sinal de alta confiança: se um CVE está no KEV, alguém já foi atacado através dele. É essa característica que explica porque tantas organizações passaram a tratar a presença no KEV como gatilho automático de patch de emergência, independentemente do que a pontuação CVSS diga sobre a gravidade teórica da falha.
O fim do boletim semanal da CISA
A 16 de setembro de 2026, a CISA anunciou que vai deixar de publicar o seu boletim semanal de vulnerabilidades a partir de 28 de setembro. A agência recomenda que as equipas de segurança passem a depender diretamente do catálogo KEV, dos alertas e advisories emitidos ad hoc, e do site CVE.org para acompanhar novidades. Na prática, isto retira um resumo semanal cómodo e obriga quem gere risco a monitorizar fontes em tempo real, algo que só faz sentido com automação.
A CISA também trocou o modelo de prazos herdado da diretiva BOD 22-01, que definia 14 dias para CVE pós-2021 no KEV e seis meses para CVE mais antigos, por um novo sistema com cinco níveis de prazo de remediação. Os prazos vão de três dias, para os casos de maior risco, até adiamentos mais longos em cenários de menor impacto, com entrada em vigor plena prevista para dezembro de 2026. Este ajuste explica porque tantas entradas recentes do KEV trazem prazos tão curtos: o sistema está desenhado para forçar reação rápida apenas onde a probabilidade de ataque é mais alta.
Para equipas habituadas ao modelo antigo, a mudança pede um ajuste de mentalidade. Já não chega verificar o KEV uma vez por semana antes de escrever o relatório de risco. Com o fim do boletim, a única forma de garantir que uma entrada nova não passa despercebida durante dias é ligar o feed diretamente a um sistema de alertas, seja por webhook, seja por uma tarefa agendada que consulta a API a cada poucas horas.
EPSS e SSVC: a terceira camada, os portais privados
Nem a NVD nem o KEV respondem sozinhos à pergunta que mais interessa a uma equipa de segurança: qual é a probabilidade de esta vulnerabilidade específica, na minha rede, ser explorada nos próximos 30 dias? É aqui que entra o Exploit Prediction Scoring System (EPSS), mantido pela organização FIRST, e o SSVC, um método de categorização que cruza fatores como exploração automatizável, exposição à internet e impacto técnico para decidir a urgência de correção.
A grande vantagem do EPSS é ser público e gratuito: a API do FIRST não exige chave nem autenticação, e os resultados também saem em ficheiro CSV atualizado diariamente. Isto abriu espaço para uma vaga de portais privados que agregam CVSS, EPSS e a marcação KEV num único painel, atualizado a cada seis horas em alguns casos, cobrindo o universo quase completo de CVE conhecidos, e não apenas o subconjunto que a NVD ainda enriquece por completo. Estes portais não substituem a NVD nem o KEV: reutilizam os dados de ambos e acrescentam contexto de risco que nenhuma das duas fontes oficiais fornece isoladamente.
Para equipas de engenharia que fazem scanning contínuo em pipelines de CI/CD, esta camada tornou-se quase obrigatória depois da reforma da NVD. Sem ela, um scanner que dependa só de CPE e CVSS da NVD passa a devolver resultados incompletos para 80% das novas vulnerabilidades, exatamente o oposto do que se espera de um processo automatizado de triagem.
Como interpretar uma pontuação EPSS
O EPSS devolve um número entre 0 e 1, que representa a probabilidade estimada de exploração no mês seguinte. Um CVE com EPSS de 0,10, o limiar usado pelo rastreador citado acima para contar os 17.386 casos de risco elevado, tem uma probabilidade estimada de 10% de ser explorado nos próximos 30 dias. Isto não é o mesmo que gravidade: um CVE pode ter CVSS 9.8, a pontuação máxima de gravidade técnica, e ainda assim ter EPSS quase nulo, porque não existe exploit público nem interesse ativo de atacantes. O inverso também acontece, e é aí que o EPSS ganha valor prático: falhas com CVSS moderado, mas EPSS elevado, tendem a ser as que aparecem primeiro em campanhas de ransomware, precisamente porque já existe ferramentas de exploração a circular.
Tabela comparativa: NVD vs CISA KEV vs portais privados
A tabela seguinte resume as diferenças técnicas e operacionais entre as três abordagens, com base nos dados publicados até 17 de setembro de 2026. Vale a pena lê-la não como um ranking, mas como um mapa de onde cada fonte deixa de responder e a outra tem de entrar.
| Critério | NVD (NIST) | CISA KEV | Portais privados EPSS/SSVC |
|---|---|---|---|
| Operador | NIST (governo dos EUA) | CISA (governo dos EUA) | Empresas privadas e projetos independentes |
| Custo de acesso | Grátis | Grátis | Camada base grátis, níveis empresariais pagos |
| Critério de inclusão | Todos os CVE reportados | Só exploração ativa confirmada | Agregação de tudo o que existe noutras fontes |
| Volume coberto (set. 2026) | ~393.963 CVE registados | 1.713 CVE (subconjunto do total) | Idêntico ao total agregado, com filtros |
| Frequência de atualização | Contínua, mas só 3 categorias com prioridade | Sem calendário fixo, assim que há evidência | Tipicamente a cada 6 horas |
| Fornece CVSS próprio | Só para CVE priorizados | Não (remete para NVD/CNA) | Sim, agregado de múltiplas fontes |
| Fornece CPE (configurações afetadas) | Só para CVE priorizados | Não | Parcial, depende da fonte original |
| Fornece CWE (categoria de falha) | Só para CVE priorizados | Não | Parcial |
| Fornece EPSS | Não | Não | Sim, é o núcleo do produto |
| Fornece SSVC | Sim, nas páginas de detalhe mais recentes | Não diretamente | Alguns portais sim |
| Prazo de remediação federal associado | Não define prazos | Sim, 3 dias a vários meses (BOD 26-04) | Não vinculativo, apenas indicativo |
| API pública | Sim, com parâmetros KEV desde 2026 | Sim, JSON e CSV | Sim, na maioria dos portais |
| Boletim de resumo periódico | Não tinha | Vai terminar a 28 de setembro de 2026 | Depende do fornecedor |
Benchmarks reais: velocidade, cobertura e falsos negativos
Comparar estas três fontes só por especificações fica incompleto sem dados de desempenho no mundo real. Quatro indicadores, todos retirados de relatórios publicados em 2026, mostram diferenças claras entre elas.
Primeiro, a velocidade de enriquecimento. Segundo a nota de investigação publicada pela Cloud Security Alliance em abril de 2026, a NIST fixou como meta enriquecer os CVE ligados ao KEV num prazo de um dia útil, um salto claro face ao histórico de semanas ou meses que muitos CVE comuns esperavam antes da reforma. Fora dessas três categorias prioritárias, porém, o tempo de espera deixou de ter meta definida, o que na prática pode significar meses de atraso ou nenhuma análise.
Segundo, a cobertura. O catálogo KEV, com as suas 1.713 entradas em setembro de 2026, cobre menos de 0,5% do universo total de CVE catalogados. Isto não é uma falha do sistema: o KEV foi desenhado para ser pequeno e de alta confiança, não abrangente. Já os portais privados que agregam EPSS conseguem atribuir uma pontuação de probabilidade a praticamente todos os CVE existentes, incluindo os 17.386 que já apresentam EPSS igual ou superior a 10%, um grupo dez vezes maior do que o catálogo KEV.
Terceiro, o impacto direto em incidentes reais. O relatório de ransomware da Check Point Research relativo ao primeiro trimestre de 2026 mostra que o grupo LockBit reivindicou 163 vítimas nesse período, um aumento de 106% face ao último trimestre de 2025, subindo de fora do top 10 global para a quarta posição. Boa parte destas campanhas explora vulnerabilidades que já constavam do KEV meses antes do ataque, o que confirma o valor prático do catálogo como sinal de risco antecipado, mesmo sendo pequeno em número absoluto de entradas.
Um quarto indicador ajuda a explicar porque tantos grupos de ransomware mudam de marca com frequência. O relatório anual da GuidePoint Security sobre ameaças em 2026 nota que operações como o RansomHub e o Black Basta perderam relevância depois de fugas internas e escândalos que expuseram as suas próprias infraestruturas, abrindo espaço para grupos novos como “The Gentlemen” ou “Storm” ocuparem o lugar quase de imediato. Para quem defende redes, isto significa que a atribuição de um ataque a um nome de grupo específico tem menos valor preditivo do que a vulnerabilidade concreta que foi explorada, porque as ferramentas e os alvos costumam sobreviver à mudança de marca. Um agregador público como o Ransomware.live confirma este padrão ao listar, em setembro de 2026, grupos como Qilin e LockBit entre os mais ativos, lado a lado com marcas que nem existiam há um ano.
Preços: da gratuitidade total aos contratos de 747 mil dólares
As três fontes oficiais e comunitárias descritas acima são gratuitas. NVD, CISA KEV, a API EPSS da FIRST e a base europeia EUVD da ENISA não cobram qualquer taxa de acesso. O dinheiro entra em cena quando uma organização quer suporte comercial, SLA garantido, integração pronta a usar ou cobertura adicional de inteligência de ameaças que vai além do CVE puro. A tabela seguinte reúne preços publicados em listagens comerciais durante 2026.
| Fonte / plataforma | Preço publicado | Modelo |
|---|---|---|
| NVD (NIST) | Grátis | Acesso público federal |
| CISA KEV | Grátis | Catálogo público em JSON/CSV |
| FIRST.org EPSS API | Grátis | Sem autenticação nem chave, CSV diário |
| ENISA EUVD | Grátis | Base de dados europeia pública |
| VulnCheck Community | 0 $/ano | Inclui KEV espelhado, NVD++, XDB e alertas |
| Flashpoint Ignite Vulnerability Intel (até 5.000 colaboradores) | 80.000 $/ano | Listagem pública na AWS Marketplace |
| VulnCheck Exploit & Vulnerability Intelligence (EVI) | 259.200 $/ano | Contrato de 12 meses, AWS Marketplace |
| VulnCheck for Government (GOV) | 747.000 $/ano | Contrato de 12 meses, AWS Marketplace |
A diferença entre o extremo gratuito e o extremo pago não é apenas dados: é operação. Quem paga 747 mil dólares por ano por um pacote como o VulnCheck for Government está a comprar suporte dedicado, SLA contratual e integrações prontas para ambientes regulados, não apenas acesso a metadados de CVE que, na sua essência, já são públicos. Para a maioria das equipas de segurança em Portugal, a combinação gratuita de NVD, KEV e EPSS cobre as necessidades reais sem qualquer custo de licenciamento.
Vale também olhar para o custo total de posse, não apenas para o preço de tabela. As fontes gratuitas exigem tempo de engenharia interno para montar a integração, escrever as regras de correlação e manter o pipeline a funcionar quando uma API muda de formato, como aconteceu quando a NVD acrescentou os parâmetros de data do KEV. As plataformas pagas cobram justamente para poupar esse tempo: entregam dados já cruzados, alertas prontos e, nos escalões mais caros, uma equipa de suporte que responde quando algo falha a meio da noite. Antes de decidir, vale a pena somar as horas de engenharia que a opção gratuita vai consumir por ano e comparar esse valor com o preço do contrato.
Cinco casos reais que mostram porque a fonte importa
Números abstratos ajudam pouco sem exemplos concretos de como cada fonte se comportou em incidentes recentes. Os seis casos seguintes, todos de agosto e setembro de 2026, mostram como a escolha da fonte de dados influencia diretamente a velocidade de resposta.
- CVE-2026-87886 (Acronis Backup): entrou no catálogo KEV a 16 de setembro de 2026, com prazo federal de remediação a 19 de setembro. Quem dependesse só da NVD para priorizar patches teria de esperar pela análise completa, que pode não chegar a tempo do prazo de três dias imposto pela CISA a organizações federais dos EUA.
- CVE-2026-85046 (Chromium V8, confusão de tipos): adicionado ao KEV entre 2 e 4 de setembro de 2026, com prazo federal a 18 de setembro. Por afetar um motor de navegador amplamente distribuído, este caso mostra como o KEV consegue sinalizar risco crítico em produtos usados por milhões de utilizadores fora do setor público.
- Zero-day em SonicWall SMA1000: uma falha de SSRF pré-autenticação foi explorada em conjunto com o CVE-2026-83549 para conseguir execução remota de código sem autenticação, um encadeamento típico onde uma única entrada no KEV não conta toda a história, exigindo correlação manual entre múltiplos CVE.
- Ataque a Huisartsencentrum Klein Iterson (Países Baixos): clínica de saúde atacada em setembro de 2026 pelo grupo LockBit, reforçando o padrão já visto no relatório da Check Point de que o setor da saúde continua entre os alvos preferidos do grupo em 2026.
- Ataque à Veradigm Inc. (EUA): empresa do setor de saúde/negócios visada em setembro de 2026 pelo grupo “The Gentlemen”, uma das marcas de ransomware mais recentes a ganhar destaque, sublinhando como novos grupos preenchem rapidamente o espaço deixado por operações desmanteladas.
- Ataque à Macquarrie Corporation (Austrália): empresa do setor retalhista visada em setembro de 2026 pelo grupo autointitulado “Storm”, mais um exemplo da diversidade de marcas de ransomware ativas num único mês, o que torna a monitorização baseada em nome de grupo pouco fiável isoladamente.
Em todos estes casos, a decisão de olhar primeiro para o KEV, em vez de esperar pelo enriquecimento completo da NVD, foi o que permitiu às equipas de resposta a incidentes ganhar dias de vantagem. Nenhum destes ataques dependeu de uma vulnerabilidade obscura e desconhecida: todos exploraram falhas já documentadas, algumas há semanas, o que reforça o argumento central deste artigo. O problema raramente é a falta de informação sobre uma vulnerabilidade. É a demora em cruzar essa informação com um sinal de urgência acionável.
Guia de migração: de uma fonte única para um pipeline combinado
Equipas que ainda dependem exclusivamente da NVD precisam de reorganizar o processo de triagem antes que a reforma de abril de 2026 comece a deixar lacunas visíveis nos relatórios de risco. Migrar não significa abandonar a NVD, significa parar de tratá-la como fonte única e passar a tratá-la como uma das três camadas de um processo mais largo. O caminho mais direto passa por estes passos.
- Auditar as fontes atuais: confirmar quantos CVE relevantes ao seu inventário caem fora das três categorias que a NVD ainda enriquece por completo.
- Ligar a API do KEV ao pipeline de scanning: importar o feed JSON ou CSV do catálogo diretamente para a ferramenta de gestão de vulnerabilidades, sem depender de consulta manual.
- Somar pontuação EPSS a cada CVE do inventário: usar a API gratuita da FIRST para obter a probabilidade de exploração nos próximos 30 dias e cruzar com a exposição real dos sistemas.
- Definir SLA internos por camada de risco: por exemplo, três dias para CVE no KEV com exposição à internet, 30 dias para EPSS acima de 10%, 90 dias para o resto do inventário.
- Testar com incidentes recentes: aplicar o novo processo retroativamente aos casos do Acronis Backup e do Chromium V8 para confirmar que a equipa teria reagido dentro do prazo.
- Rever trimestralmente: a CISA já mudou o modelo de prazos duas vezes em 2026 (BOD 22-01 para BOD 26-04), por isso o processo interno precisa de flexibilidade para acompanhar novas diretivas.
Para organizações que reportam a autoridades europeias, vale a pena acompanhar também a evolução da base EUVD da ENISA, que já analisámos em detalhe no artigo sobre a crise de cobertura do CVE na União Europeia.
O erro mais comum nesta transição é tentar substituir a NVD por uma única fonte alternativa, geralmente o KEV, sem perceber que o KEV nunca foi desenhado para cobrir todo o inventário. Uma equipa que só reage a entradas do KEV vai ficar cega para a maioria do risco real, porque o catálogo cobre menos de 1% dos CVE existentes. A camada de EPSS é o que preenche esse vazio entre “confirmado como explorado” e “ainda sem qualquer sinal de risco”.
Prós e contras de cada fonte
Nenhuma das três fontes foi desenhada para fazer o trabalho das outras duas. Resumimos abaixo o que cada uma faz bem e onde deixa lacunas, para servir de referência rápida na hora de montar o processo interno.
NVD
- Prós: gratuita, autoritativa, agora com SSVC e lista de configurações afetadas nas páginas mais recentes.
- Contras: só cerca de 15% a 20% dos CVE recebem enriquecimento completo desde abril de 2026. Cerca de 29.000 CVE antigos ficaram marcados como “Not Scheduled”.
CISA KEV
- Prós: altíssima confiança, cada entrada corresponde a exploração confirmada. Prazos de remediação claros através da BOD 26-04.
- Contras: cobre apenas 1.713 CVE de um universo de quase 394.000. O boletim semanal de resumo termina a 28 de setembro de 2026.
Portais privados com EPSS/SSVC
- Prós: cobertura quase total do universo de CVE, atualização frequente (a cada 6 horas em alguns casos), pontuação preditiva gratuita via API da FIRST.
- Contras: qualidade e cobertura variam por fornecedor. Camadas empresariais com suporte dedicado custam entre 80 mil e 747 mil dólares por ano.
Casos de uso: qual fonte escolher consoante o perfil
Não existe uma resposta única. A escolha certa depende do perfil de risco, do orçamento e das obrigações regulatórias de cada organização. Os seis perfis seguintes cobrem a maioria das equipas que lidam com gestão de vulnerabilidades em Portugal e na Europa.
- Startups e equipas pequenas sem orçamento de segurança dedicado: combinação gratuita de CISA KEV mais EPSS via API da FIRST cobre a maior parte do risco real sem custo de licenciamento.
- Fornecedores que vendem software ao governo federal dos EUA: têm de seguir de perto a NVD, porque o seu software entra automaticamente numa das três categorias prioritárias de enriquecimento definidas pela Ordem Executiva 14028.
- Bancos e seguradoras portuguesas sujeitas à NIS2: devem cruzar KEV, EPSS e a base EUVD da ENISA, dado que muitas obrigações de reporte na UE já remetem para fontes europeias em vez de apenas fontes norte-americanas.
- Grandes empresas com SOC interno e orçamento generoso: plataformas pagas como VulnCheck EVI ou Flashpoint Ignite fazem sentido quando o volume de ativos torna inviável a triagem manual, mesmo com as fontes gratuitas ligadas.
- Equipas DevSecOps com scanning automatizado em CI/CD: a API gratuita de EPSS, combinada com o feed JSON do KEV, integra-se diretamente em pipelines sem custo adicional por chamada.
- Prestadores de serviços de resposta a incidentes: precisam de correlacionar as três fontes em simultâneo, como no caso do SonicWall SMA1000, onde uma única entrada no KEV não descreve toda a cadeia de exploração.
O impacto para empresas portuguesas sob a NIS2
A transposição da NIS2 para o regime jurídico português trouxe prazos de reporte apertados para incidentes significativos, e a escolha de fonte de vulnerabilidades tem impacto direto na capacidade de cumprir esses prazos. Uma empresa abrangida pelo regime, que junta cerca de 9.000 entidades portuguesas sujeitas a coimas até 10 milhões de euros, não pode dar-se ao luxo de esperar pelo enriquecimento completo de um CVE na NVD antes de decidir se um incidente é reportável. A NIS2 exige notificação de alerta antecipado num prazo de 24 horas após a deteção de um incidente significativo, seguida de uma notificação mais detalhada até 72 horas depois. Nenhum desses prazos combina bem com um CVE marcado “Not Scheduled” na NVD.
Nestes casos, o catálogo KEV funciona como primeiro filtro de urgência, mesmo sabendo que cobre uma fração pequena do total de CVE. Se a vulnerabilidade explorada já lá consta, a resposta tem de ser imediata. Se não consta, mas o EPSS aponta probabilidade elevada de exploração, a equipa de segurança ganha justificação documentada para acelerar o patch mesmo sem confirmação oficial de ataque ativo, algo que auditores e reguladores têm vindo a aceitar cada vez mais como boa prática.
Há ainda uma vantagem menos óbvia em documentar o processo desta forma: em caso de auditoria, mostrar que a equipa cruzou três fontes independentes antes de decidir a prioridade de um patch pesa mais do que mostrar um único número de CVSS retirado da NVD. Reguladores em Portugal e no resto da UE têm vindo a valorizar processos de decisão bem documentados, mesmo quando o resultado final não elimina 100% do risco, porque demonstram que a organização agiu com a informação disponível no momento, e não com negligência.
Veredito: qual fonte vence em 2026?
Nenhuma das três fontes vence sozinha, e os números confirmam isso. A NVD perdeu a batalha da cobertura universal quando a NIST admitiu, em abril, que só consegue enriquecer por completo entre 15% e 20% dos CVE recebidos. O KEV ganha em confiança, porque cada uma das suas 1.713 entradas representa exploração confirmada, mas cobre menos de 0,5% do universo total de vulnerabilidades. Os portais privados com EPSS ganham em cobertura e frequência de atualização, com dados renovados a cada seis horas em alguns casos, mas exigem que a organização escolha e valide um fornecedor.
Para 2026, a prática recomendada por analistas da área deixou de ser escolher uma fonte e passou a ser combinar as três em camadas: KEV para urgência máxima e prazos regulatórios, EPSS para prever risco antes de haver exploração confirmada, e NVD para os casos em que a organização já se enquadra numa das categorias prioritárias de enriquecimento completo. Quem ainda trata a NVD como fonte única está, na prática, a trabalhar com visibilidade sobre menos de um quinto do panorama real de risco.
Como regra prática para fechar 2026: use o KEV para decidir o que corrigir hoje, use o EPSS para decidir o que corrigir esta semana, e reserve a NVD para os casos em que a lei ou um contrato já obrigam a segui-la de perto. Nenhuma das três fontes vai desaparecer nem perder relevância em 2027, mas a era em que bastava consultar uma delas terminou em abril de 2026, no dia em que a NIST admitiu publicamente os limites do seu próprio modelo. Quem construir o pipeline combinado agora fica em posição confortável quando a próxima reforma chegar, porque o hábito de cruzar múltiplas fontes, em vez de confiar cegamente numa só, tende a sobreviver a qualquer mudança de regras futura.
Perguntas frequentes
A NVD deixou de funcionar em 2026?
Não. O site e a API da NVD continuam operacionais, segundo a própria NIST, incluindo as novas funcionalidades introduzidas em 2026, como a lista de configurações afetadas e a pontuação SSVC nas páginas de detalhe. O que mudou foi o critério de prioridade: só três categorias de CVE recebem enriquecimento completo, e o resto pode ficar sem análise detalhada por tempo indefinido, salvo pedido explícito de análise.
O catálogo CISA KEV é gratuito para empresas europeias?
Sim. O catálogo está disponível em formato JSON e CSV sem qualquer custo, independentemente da localização geográfica de quem o consulta, incluindo empresas portuguesas.
O que é o EPSS e substitui o CVSS?
O EPSS é uma pontuação de probabilidade de exploração nos próximos 30 dias, mantida pela FIRST. Não substitui o CVSS, que mede gravidade técnica: o EPSS complementa-o ao acrescentar a dimensão de probabilidade real de ataque, algo que o CVSS sozinho não capta.
O boletim semanal da CISA vai mesmo terminar?
Sim, a CISA confirmou que a última edição sai antes de 28 de setembro de 2026. A agência recomenda substituir o boletim por monitorização direta do catálogo KEV, de alertas ad hoc e do site CVE.org.
Vale a pena pagar por uma plataforma como o VulnCheck ou o Flashpoint?
Depende do volume de ativos e do orçamento. Para equipas pequenas, a combinação gratuita de KEV e EPSS costuma bastar, sobretudo se já houver alguém com tempo disponível para manter a integração. Para organizações com milhares de ativos e obrigação de SLA contratual, os preços de 80 mil a 747 mil dólares por ano compram suporte dedicado e integrações que a triagem manual não consegue igualar, além de reduzirem o risco de um alerta crítico passar despercebido por falta de mão de obra interna.
Como é que a reforma da NVD afeta empresas fora dos EUA?
Afeta qualquer organização que dependa da NVD como fonte de metadados de CVE, incluindo empresas portuguesas. Como o critério de prioridade da NIST está ligado a software usado pelo governo federal dos EUA, a maioria das empresas europeias fica automaticamente fora das categorias com enriquecimento garantido, o que reforça a necessidade de cruzar dados com o KEV e o EPSS. Empresas que vendem software para o setor público norte-americano são a exceção, porque o seu software cai diretamente numa das três categorias prioritárias da reforma.
A base EUVD da ENISA pode substituir a NVD na União Europeia?
A EUVD funciona como alternativa europeia e está gratuita e disponível ao público, mas ainda não tem o mesmo volume histórico de dados nem a mesma maturidade de integrações que a NVD acumulou ao longo de quase vinte anos. Para já, funciona melhor como complemento do que como substituto total, sobretudo para organizações que precisam de demonstrar a um regulador europeu que também consultaram uma fonte sediada na União Europeia, e não apenas fontes norte-americanas.
Quanto tempo demora a montar um pipeline combinado de NVD, KEV e EPSS?
Para uma equipa com ferramentas de scanning já instaladas, ligar as três APIs gratuitas e definir os SLA internos de resposta costuma demorar entre uma e três semanas, sem contar com o tempo de teste retroativo contra incidentes já conhecidos.
