{"id":52,"date":"2026-06-11T08:58:33","date_gmt":"2026-06-11T08:58:33","guid":{"rendered":"https:\/\/shattered.io\/pt\/2026\/06\/11\/euvd-cve-crise-ue-2026\/"},"modified":"2026-06-11T08:58:33","modified_gmt":"2026-06-11T08:58:33","slug":"euvd-cve-crise-ue-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/pt\/2026\/06\/11\/euvd-cve-crise-ue-2026\/","title":{"rendered":"CVE em Crise: EUVD da UE e 11 Meses de Risco [2026]"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Durante 24 horas, em abril de 2025, o sistema que cataloga as falhas de seguran\u00e7a do mundo inteiro esteve a horas de deixar de funcionar. O contrato federal que financiava o programa <strong>CVE<\/strong> (Common Vulnerabilities and Exposures), gerido pela MITRE, estava prestes a expirar sem renova\u00e7\u00e3o. A rea\u00e7\u00e3o foi imediata e global. Pouco mais de um ano depois, a Europa tem a sua pr\u00f3pria resposta operacional: a <strong>EUVD<\/strong>, a base de dados de vulnerabilidades da UE gerida pela ENISA. Para Portugal e para os milhares de organiza\u00e7\u00f5es abrangidas pela diretiva NIS2, esta mudan\u00e7a altera a forma como as falhas cr\u00edticas s\u00e3o descobertas, catalogadas e corrigidas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta an\u00e1lise reconstr\u00f3i o quase-colapso do programa CVE, explica o que a <strong>EUVD<\/strong> faz de diferente, e mede o impacto concreto para as empresas portuguesas num ano em que o risco cibern\u00e9tico voltou a ser classificado como a primeira amea\u00e7a mundial. Os n\u00fameros s\u00e3o duros: as equipas de ataque j\u00e1 chegam \u00e0 exfiltra\u00e7\u00e3o de dados em 72 minutos, e o pedido de resgate mediano subiu para 1,5 milh\u00f5es de d\u00f3lares.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"o-quase-colapso-do-programa-cve-em-abril-de-2025\">O quase-colapso do programa CVE em abril de 2025<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O programa <strong>CVE<\/strong> existe desde 1999 e funciona como o dicion\u00e1rio comum da ciberseguran\u00e7a. Cada falha recebe um identificador \u00fanico (por exemplo, CVE-2025-12345) que permite a fornecedores, investigadores e equipas de defesa falarem da mesma vulnerabilidade sem ambiguidade. Sem este sistema, cada fabricante usaria a sua pr\u00f3pria nomenclatura e a coordena\u00e7\u00e3o global tornar-se-ia ca\u00f3tica.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A 15 de abril de 2025, uma carta interna da MITRE veio a p\u00fablico. O vice-presidente Yosry Barsoum avisava que o financiamento estava a terminar. Nas suas palavras: &#8220;a 16 de abril de 2025, o atual mecanismo contratual para a MITRE desenvolver, operar e modernizar o programa CVE vai expirar.&#8221; A MITRE confirmou que o s\u00edtio do CVE permaneceria online, mas que nenhum novo CVE seria adicionado ap\u00f3s essa data. O Departamento de Seguran\u00e7a Interna dos EUA (DHS), atrav\u00e9s da CISA, n\u00e3o tinha renovado o contrato a tempo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A comunidade de seguran\u00e7a reagiu com alarme. Um sistema usado por todos os fornecedores de software do planeta, de empresas portuguesas a gigantes norte-americanos, estava dependente de um \u00fanico contrato governamental. Horas depois do prazo, a CISA executou o per\u00edodo de op\u00e7\u00e3o do contrato. Em comunicado, a ag\u00eancia declarou: &#8220;execut\u00e1mos o per\u00edodo de op\u00e7\u00e3o do contrato para garantir que n\u00e3o haver\u00e1 interrup\u00e7\u00e3o nos servi\u00e7os cr\u00edticos do CVE.&#8221; O financiamento foi restaurado por um per\u00edodo de 11 meses, uma solu\u00e7\u00e3o de recurso, n\u00e3o uma garantia permanente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No mesmo dia, um grupo de membros do conselho do programa anunciou a cria\u00e7\u00e3o da <strong>CVE Foundation<\/strong>, uma entidade sem fins lucrativos destinada a dar ao programa uma estrutura de governa\u00e7\u00e3o e financiamento independente do or\u00e7amento federal norte-americano. O epis\u00f3dio exp\u00f4s uma fragilidade estrutural: a infraestrutura cr\u00edtica da ciberseguran\u00e7a mundial assentava num \u00fanico ponto de falha financeiro.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Data<\/th><th>Acontecimento<\/th><\/tr><\/thead><tbody>\n<tr><td>1999<\/td><td>Lan\u00e7amento do programa CVE pela MITRE<\/td><\/tr>\n<tr><td>Janeiro 2024<\/td><td>ENISA torna-se uma CNA (autoridade de numera\u00e7\u00e3o CVE)<\/td><\/tr>\n<tr><td>15 abril 2025<\/td><td>Carta de Yosry Barsoum alerta para o fim do financiamento<\/td><\/tr>\n<tr><td>16 abril 2025<\/td><td>Prazo de expira\u00e7\u00e3o do contrato MITRE\/DHS<\/td><\/tr>\n<tr><td>16 abril 2025<\/td><td>CISA ativa per\u00edodo de op\u00e7\u00e3o, financiamento por 11 meses<\/td><\/tr>\n<tr><td>16 abril 2025<\/td><td>An\u00fancio da cria\u00e7\u00e3o da CVE Foundation<\/td><\/tr>\n<tr><td>13 maio 2025<\/td><td>ENISA lan\u00e7a oficialmente a EUVD<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"a-resposta-europeia-a-enisa-lanca-a-euvd\">A resposta europeia: a ENISA lan\u00e7a a EUVD<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A 13 de maio de 2025, a Ag\u00eancia da Uni\u00e3o Europeia para a Ciberseguran\u00e7a (ENISA) lan\u00e7ou oficialmente a <strong>EUVD<\/strong>, a base de dados de vulnerabilidades da UE, acess\u00edvel em euvd.enisa.europa.eu. A Comiss\u00e3o Europeia anunciou o lan\u00e7amento na mesma data. O calend\u00e1rio n\u00e3o foi coincid\u00eancia: a crise do CVE acelerou a urg\u00eancia pol\u00edtica de a Europa ter um reposit\u00f3rio pr\u00f3prio, embora o projeto j\u00e1 estivesse mandatado desde antes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Juhan Lepassaar, diretor executivo da ENISA, enquadrou o lan\u00e7amento como o cumprimento de uma obriga\u00e7\u00e3o legal. Nas suas palavras: &#8220;a ENISA atinge um marco com a implementa\u00e7\u00e3o do requisito da base de dados de vulnerabilidades da Diretiva NIS2. A UE est\u00e1 agora equipada com uma ferramenta essencial concebida para melhorar substancialmente a gest\u00e3o de vulnerabilidades e dos riscos a elas associados.&#8221; Lepassaar acrescentou que &#8220;a base de dados garante transpar\u00eancia a todos os utilizadores dos produtos e servi\u00e7os TIC afetados e funcionar\u00e1 como uma fonte eficiente de informa\u00e7\u00e3o para encontrar medidas de mitiga\u00e7\u00e3o.&#8221;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A <strong>EUVD<\/strong> agrega informa\u00e7\u00e3o de m\u00faltiplas fontes: registos CVE, avisos dos fornecedores, o cat\u00e1logo de vulnerabilidades ativamente exploradas e contribui\u00e7\u00f5es dos CSIRT nacionais. Em vez de substituir o CVE, a base de dados europeia consolida e enriquece, oferecendo um ponto de refer\u00eancia sob jurisdi\u00e7\u00e3o europeia. A ENISA j\u00e1 era uma CNA (CVE Numbering Authority) desde janeiro de 2024, o que significa que pode atribuir identificadores diretamente, refor\u00e7ando a sua posi\u00e7\u00e3o na cadeia global de divulga\u00e7\u00e3o.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A diferen\u00e7a geopol\u00edtica \u00e9 relevante. At\u00e9 maio de 2025, a Europa dependia inteiramente de infraestrutura norte-americana (o CVE da MITRE e a NVD do NIST) para a sua intelig\u00eancia de vulnerabilidades. A crise mostrou que essa depend\u00eancia era um risco soberano. A <strong>EUVD<\/strong> d\u00e1 \u00e0 UE controlo operacional sobre uma fun\u00e7\u00e3o cr\u00edtica, alinhada com a estrat\u00e9gia mais ampla de autonomia digital do bloco.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"euvd-vs-cve-e-nvd-o-que-muda-na-pratica\">EUVD vs CVE e NVD: o que muda na pr\u00e1tica<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Para uma equipa de seguran\u00e7a em Lisboa ou no Porto, a pergunta pr\u00e1tica \u00e9 simples: que base de dados consultar? A resposta \u00e9 que as tr\u00eas coexistem e se complementam. A tabela seguinte compara as principais plataformas de intelig\u00eancia de vulnerabilidades dispon\u00edveis em 2026.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Plataforma<\/th><th>Operador<\/th><th>Jurisdi\u00e7\u00e3o<\/th><th>Fun\u00e7\u00e3o principal<\/th><\/tr><\/thead><tbody>\n<tr><td>CVE<\/td><td>MITRE \/ CVE Foundation<\/td><td>EUA<\/td><td>Atribui\u00e7\u00e3o de identificadores \u00fanicos<\/td><\/tr>\n<tr><td>NVD<\/td><td>NIST<\/td><td>EUA<\/td><td>Enriquecimento (CVSS, CPE, refer\u00eancias)<\/td><\/tr>\n<tr><td>EUVD<\/td><td>ENISA<\/td><td>UE<\/td><td>Agrega\u00e7\u00e3o e curadoria sob a NIS2<\/td><\/tr>\n<tr><td>KEV<\/td><td>CISA<\/td><td>EUA<\/td><td>Vulnerabilidades ativamente exploradas<\/td><\/tr>\n<tr><td>CSIRT nacionais<\/td><td>Estados-Membros<\/td><td>Nacional<\/td><td>Coordena\u00e7\u00e3o e alerta local<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">O contexto que tornou a <strong>EUVD<\/strong> necess\u00e1ria \u00e9 o volume. Em 2024 foram publicadas mais de 40.000 vulnerabilidades CVE, um recorde, e o ritmo acelerou em 2025. A NVD do NIST, que historicamente enriquecia cada CVE com pontua\u00e7\u00e3o CVSS e metadados, acumulou um atraso significativo no processamento ao longo de 2024, deixando milhares de registos sem an\u00e1lise completa. Esse atraso criou um v\u00e1cuo que a base de dados europeia ajuda a colmatar, oferecendo informa\u00e7\u00e3o acion\u00e1vel mesmo quando a fonte original ainda n\u00e3o foi totalmente enriquecida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Na pr\u00e1tica, uma organiza\u00e7\u00e3o portuguesa madura deve consultar v\u00e1rias fontes em paralelo: a <strong>EUVD<\/strong> para uma perspetiva europeia e curada, o cat\u00e1logo KEV para priorizar o que est\u00e1 a ser explorado neste momento (mais de mil vulnerabilidades confirmadas como exploradas ativamente), e os avisos do CERT.PT para o contexto nacional. A redund\u00e2ncia deixou de ser um luxo e passou a ser uma necessidade de resili\u00eancia.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"porque-e-que-isto-importa-para-portugal\">Porque \u00e9 que isto importa para Portugal<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Portugal n\u00e3o opera num v\u00e1cuo. O Centro Nacional de Ciberseguran\u00e7a (CNCS), atrav\u00e9s do CERT.PT, \u00e9 a entidade que coordena a resposta a incidentes e a divulga\u00e7\u00e3o de vulnerabilidades a n\u00edvel nacional. Quando uma falha cr\u00edtica surge num produto amplamente usado, \u00e9 o CNCS que emite os alertas para a administra\u00e7\u00e3o p\u00fablica, operadores de infraestruturas cr\u00edticas e o tecido empresarial. A exist\u00eancia da <strong>EUVD<\/strong> d\u00e1 ao CNCS uma fonte europeia oficial, em vez de depender exclusivamente de bases de dados sob jurisdi\u00e7\u00e3o estrangeira.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O enquadramento legal vem da diretiva NIS2, que alargou drasticamente o n\u00famero de entidades obrigadas a cumprir requisitos de ciberseguran\u00e7a. Setores como energia, sa\u00fade, transportes, banca, infraestrutura digital, administra\u00e7\u00e3o p\u00fablica e fabrico passaram a estar sob obriga\u00e7\u00f5es refor\u00e7adas de gest\u00e3o de risco e notifica\u00e7\u00e3o de incidentes. Para uma empresa portuguesa abrangida, ignorar uma vulnerabilidade catalogada na <strong>EUVD<\/strong> pode passar de neglig\u00eancia t\u00e9cnica a incumprimento regulat\u00f3rio.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Como v\u00e1rios Estados-Membros, Portugal teve de transpor a NIS2 para a ordem jur\u00eddica interna, um processo que se arrastou para al\u00e9m do prazo europeu de outubro de 2024, \u00e0 semelhan\u00e7a da maioria dos pa\u00edses do bloco. Independentemente do calend\u00e1rio legislativo, a diretiva j\u00e1 molda as expectativas de conformidade. As organiza\u00e7\u00f5es que tratam a gest\u00e3o de vulnerabilidades como um processo cont\u00ednuo, e n\u00e3o como uma rea\u00e7\u00e3o a crises, est\u00e3o melhor posicionadas para o regime que se consolida em 2026.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A depend\u00eancia portuguesa de software e servi\u00e7os estrangeiros torna o tema ainda mais sens\u00edvel. A esmagadora maioria das vulnerabilidades que afetam empresas em Portugal est\u00e1 em produtos desenvolvidos fora do pa\u00eds. Ter uma fonte europeia de intelig\u00eancia reduz o tempo entre a divulga\u00e7\u00e3o de uma falha e a chegada do alerta a quem a precisa de corrigir em territ\u00f3rio nacional.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"a-nis2-e-a-obrigacao-legal-por-tras-da-base-de-dados\">A NIS2 e a obriga\u00e7\u00e3o legal por tr\u00e1s da base de dados<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A <strong>EUVD<\/strong> n\u00e3o nasceu de uma rea\u00e7\u00e3o improvisada \u00e0 crise do CVE. Foi um requisito expl\u00edcito da diretiva NIS2, o quadro legislativo que substitui a NIS original e que imp\u00f5e \u00e0 ENISA a manuten\u00e7\u00e3o de uma base de dados europeia de vulnerabilidades. A crise de abril de 2025 apenas acelerou e validou politicamente um projeto que j\u00e1 estava mandatado por lei.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A l\u00f3gica regulat\u00f3ria \u00e9 coerente. A NIS2 exige que as entidades abrangidas fa\u00e7am gest\u00e3o de risco baseada em informa\u00e7\u00e3o fi\u00e1vel. Sem uma base de dados oficial e curada, esse requisito ficaria dependente de fontes externas sobre as quais a UE n\u00e3o tem controlo. A <strong>EUVD<\/strong> fecha esse c\u00edrculo: a Europa imp\u00f5e a obriga\u00e7\u00e3o e, simultaneamente, fornece a ferramenta para a cumprir.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">H\u00e1 tamb\u00e9m uma dimens\u00e3o de divulga\u00e7\u00e3o coordenada. A diretiva incentiva a divulga\u00e7\u00e3o respons\u00e1vel de vulnerabilidades, em que investigadores reportam falhas aos fornecedores e \u00e0s autoridades antes de as tornarem p\u00fablicas. A <strong>EUVD<\/strong> serve de ponto de rece\u00e7\u00e3o e coordena\u00e7\u00e3o europeu, articulando-se com os CSIRT nacionais como o CERT.PT portugu\u00eas. Esta arquitetura distribu\u00edda, com um n\u00f3 central europeu e n\u00f3s nacionais, \u00e9 o modelo que a UE adotou para equilibrar soberania e coopera\u00e7\u00e3o.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"os-numeros-do-risco-o-relatorio-unit-42-de-2026\">Os n\u00fameros do risco: o relat\u00f3rio Unit 42 de 2026<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A urg\u00eancia em torno da gest\u00e3o de vulnerabilidades fica clara nos dados de resposta a incidentes. O relat\u00f3rio global de resposta a incidentes da Unit 42 (Palo Alto Networks) de 2026 tra\u00e7a um retrato preocupante da velocidade dos atacantes em 2025. A explora\u00e7\u00e3o de vulnerabilidades empatou com o phishing como vetor de acesso inicial mais comum, cada um respons\u00e1vel por 22% dos incidentes analisados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O dado mais alarmante \u00e9 a velocidade. No quartil mais r\u00e1pido das intrus\u00f5es, os atacantes chegaram \u00e0 exfiltra\u00e7\u00e3o de dados em apenas 72 minutos em 2025, contra 285 minutos em 2024. A percentagem de incidentes em que os dados sa\u00edram da organiza\u00e7\u00e3o em menos de uma hora subiu de 19% para 22%. Quando o tempo entre a divulga\u00e7\u00e3o de uma falha e a sua explora\u00e7\u00e3o se mede em horas, ter uma fonte de intelig\u00eancia r\u00e1pida como a <strong>EUVD<\/strong> deixa de ser opcional.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>M\u00e9trica<\/th><th>2024<\/th><th>2025<\/th><th>Varia\u00e7\u00e3o<\/th><\/tr><\/thead><tbody>\n<tr><td>Exfiltra\u00e7\u00e3o mais r\u00e1pida (quartil)<\/td><td>285 min<\/td><td>72 min<\/td><td>-75%<\/td><\/tr>\n<tr><td>Incidentes com exfiltra\u00e7\u00e3o em menos de 1 hora<\/td><td>19%<\/td><td>22%<\/td><td>+3 p.p.<\/td><\/tr>\n<tr><td>Pedido de resgate mediano<\/td><td>1,25 M$<\/td><td>1,5 M$<\/td><td>+20%<\/td><\/tr>\n<tr><td>Pagamento de resgate mediano<\/td><td>267.500 $<\/td><td>500.000 $<\/td><td>+87%<\/td><\/tr>\n<tr><td>Explora\u00e7\u00e3o de vulnerabilidades (acesso inicial)<\/td><td>n.d.<\/td><td>22%<\/td><td>empate com phishing<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Os valores financeiros confirmam a tend\u00eancia. O pedido de resgate mediano subiu de 1,25 milh\u00f5es de d\u00f3lares em 2024 para 1,5 milh\u00f5es em 2025, e o pagamento mediano quase duplicou, de 267.500 para 500.000 d\u00f3lares. Estes n\u00fameros mostram que a explora\u00e7\u00e3o de vulnerabilidades por corrigir continua a ser um neg\u00f3cio lucrativo, e que cada falha n\u00e3o corrigida \u00e9 uma porta de entrada com pre\u00e7o de mercado.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"o-mercado-reage-seguros-e-fusoes-em-alta\">O mercado reage: seguros e fus\u00f5es em alta<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O risco cibern\u00e9tico dominou a agenda corporativa em 2026. O Allianz Risk Barometer 2026 classificou os incidentes cibern\u00e9ticos como o principal risco global pelo quinto ano consecutivo, com 42% das respostas, a pontua\u00e7\u00e3o mais alta de sempre. O risco foi apontado como n\u00famero um em todas as dimens\u00f5es de empresa e em todas as regi\u00f5es inquiridas, incluindo a Europa. A gest\u00e3o de vulnerabilidades, antes uma preocupa\u00e7\u00e3o t\u00e9cnica, \u00e9 agora um tema de conselho de administra\u00e7\u00e3o.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O mercado de ciberseguran\u00e7a tamb\u00e9m se consolidou. A aquisi\u00e7\u00e3o da Wiz pela Google, no valor de 32 mil milh\u00f5es de d\u00f3lares, foi aprovada pela Comiss\u00e3o Europeia a 10 de fevereiro de 2026. A opera\u00e7\u00e3o, uma das maiores de sempre no setor, sinaliza que os grandes intervenientes tecnol\u00f3gicos veem a seguran\u00e7a na nuvem e a gest\u00e3o de exposi\u00e7\u00e3o como territ\u00f3rios estrat\u00e9gicos. Para as empresas europeias, a consolida\u00e7\u00e3o levanta quest\u00f5es sobre concentra\u00e7\u00e3o de mercado e depend\u00eancia de fornecedores n\u00e3o europeus, precisamente o tipo de preocupa\u00e7\u00e3o que motivou a cria\u00e7\u00e3o da <strong>EUVD<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Os incidentes concretos mantiveram a press\u00e3o. A operadora de telecomunica\u00e7\u00f5es neerlandesa Odido revelou que mais de 6 milh\u00f5es de contas foram expostas num ciberataque, com dados roubados que inclu\u00edam nomes, n\u00fameros de telefone, endere\u00e7os de email, n\u00fameros de conta banc\u00e1ria e n\u00fameros de passaporte. Casos como este, num pa\u00eds vizinho e num setor cr\u00edtico, s\u00e3o um lembrete de que a pr\u00f3xima grande fuga pode atingir um operador portugu\u00eas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"fragmentacao-ou-redundancia-saudavel\">Fragmenta\u00e7\u00e3o ou redund\u00e2ncia saud\u00e1vel?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Nem toda a comunidade v\u00ea a <strong>EUVD<\/strong> com otimismo un\u00e2nime. A cr\u00edtica principal \u00e9 o risco de fragmenta\u00e7\u00e3o. Se a Europa, os EUA, a China e outros blocos mantiverem bases de dados separadas, com identificadores e classifica\u00e7\u00f5es divergentes, a interoperabilidade global pode degradar-se. Um mundo com v\u00e1rios sistemas de numera\u00e7\u00e3o concorrentes seria um retrocesso face \u00e0 clareza que o CVE trouxe durante 25 anos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A leitura oposta, e mais convincente, \u00e9 que a <strong>EUVD<\/strong> n\u00e3o cria um sistema concorrente mas sim uma camada de resili\u00eancia. A base de dados europeia continua a usar identificadores CVE e a articular-se com o ecossistema existente. O que muda \u00e9 que, se o CVE voltar a vacilar por raz\u00f5es or\u00e7amentais ou pol\u00edticas, a Europa j\u00e1 n\u00e3o fica ref\u00e9m. A redund\u00e2ncia, neste contexto, \u00e9 uma virtude de engenharia, n\u00e3o um sintoma de divis\u00e3o.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O verdadeiro teste ser\u00e1 a coordena\u00e7\u00e3o. Se a ENISA, a MITRE, a CVE Foundation e o NIST mantiverem processos alinhados e dados sincronizados, o utilizador final beneficia de m\u00faltiplas fontes fi\u00e1veis sem confus\u00e3o. Se cada entidade seguir o seu caminho, as equipas de seguran\u00e7a ter\u00e3o de gerir a complexidade de reconciliar registos divergentes. A governa\u00e7\u00e3o, mais do que a tecnologia, decidir\u00e1 o resultado.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"contexto-historico-do-bugtraq-ao-cve-e-a-euvd\">Contexto hist\u00f3rico: do Bugtraq ao CVE e \u00e0 EUVD<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Para perceber a import\u00e2ncia do momento, vale a pena recuar. Antes do CVE, a divulga\u00e7\u00e3o de vulnerabilidades fazia-se em listas de email como a Bugtraq, sem identificadores padronizados. Duas empresas podiam descrever a mesma falha de formas t\u00e3o diferentes que ningu\u00e9m percebia que se tratava do mesmo problema. O CVE, lan\u00e7ado em 1999, resolveu este caos ao impor um identificador universal.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Em 2005, o NIST criou a NVD para enriquecer cada CVE com pontua\u00e7\u00f5es de gravidade (CVSS) e metadados estruturados. Esta divis\u00e3o de trabalho, a MITRE atribui o identificador e o NIST enriquece, funcionou durante quase duas d\u00e9cadas. A crise de 2024 e 2025, com o atraso de enriquecimento da NVD e o quase-fim do financiamento do CVE, mostrou que o modelo, embora robusto, dependia demasiado de or\u00e7amentos p\u00fablicos de um \u00fanico pa\u00eds.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A <strong>EUVD<\/strong> \u00e9 o pr\u00f3ximo cap\u00edtulo l\u00f3gico desta hist\u00f3ria. Tal como o CVE p\u00f4s ordem no caos dos anos 90 e a NVD acrescentou camadas de an\u00e1lise nos anos 2000, a base de dados europeia adiciona uma dimens\u00e3o de soberania e resili\u00eancia adequada \u00e0 d\u00e9cada de 2020. A Europa aprendeu, da forma mais abrupta, que infraestrutura cr\u00edtica n\u00e3o deve assentar num \u00fanico ponto de falha geogr\u00e1fico.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"comparacao-competitiva-no-panorama-de-inteligencia-de-falhas\">Compara\u00e7\u00e3o competitiva no panorama de intelig\u00eancia de falhas<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A <strong>EUVD<\/strong> entra num ecossistema povoado. Al\u00e9m das fontes p\u00fablicas, existe um mercado florescente de intelig\u00eancia de vulnerabilidades comercial, com fornecedores que oferecem enriquecimento, prioriza\u00e7\u00e3o baseada em explora\u00e7\u00e3o real e alertas em tempo quase real. Estes servi\u00e7os surgiram em parte para preencher as lacunas deixadas pelo atraso da NVD.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A vantagem competitiva da base de dados europeia n\u00e3o est\u00e1 na exaustividade t\u00e9cnica, em que os fornecedores comerciais podem super\u00e1-la, mas na legitimidade institucional e no alinhamento regulat\u00f3rio. Para uma entidade abrangida pela NIS2, citar a <strong>EUVD<\/strong> como fonte de refer\u00eancia tem peso de conformidade que uma plataforma privada n\u00e3o oferece. \u00c9 a diferen\u00e7a entre uma ferramenta \u00fatil e uma fonte oficial.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O cat\u00e1logo KEV da CISA, por seu lado, ocupa um nicho distinto e complementar: lista apenas as vulnerabilidades confirmadas como ativamente exploradas, funcionando como um filtro de prioridade. Uma estrat\u00e9gia madura combina as tr\u00eas camadas: a <strong>EUVD<\/strong> para cobertura e conformidade europeia, o KEV para urg\u00eancia operacional, e a intelig\u00eancia comercial para profundidade. Nenhuma substitui as outras.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"o-que-as-empresas-portuguesas-devem-fazer-agora\">O que as empresas portuguesas devem fazer agora<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A passagem da teoria \u00e0 pr\u00e1tica come\u00e7a por integrar a <strong>EUVD<\/strong> nos processos existentes. As equipas de seguran\u00e7a devem incorporar a base de dados europeia nas suas rotinas de monitoriza\u00e7\u00e3o, a par do CVE, da NVD e dos alertas do CERT.PT. Ferramentas de gest\u00e3o de vulnerabilidades modernas permitem consultar m\u00faltiplas fontes via API, automatizando a dete\u00e7\u00e3o de falhas relevantes para o invent\u00e1rio de software da organiza\u00e7\u00e3o.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A prioriza\u00e7\u00e3o \u00e9 o passo seguinte. Com dezenas de milhares de CVE por ano, corrigir tudo \u00e9 imposs\u00edvel. A abordagem eficaz \u00e9 cruzar o invent\u00e1rio interno com o cat\u00e1logo KEV e os alertas da <strong>EUVD<\/strong> para identificar as falhas que afetam ativos cr\u00edticos e que est\u00e3o a ser exploradas. Uma vulnerabilidade com pontua\u00e7\u00e3o alta mas sem explora\u00e7\u00e3o conhecida \u00e9 menos urgente do que uma com pontua\u00e7\u00e3o m\u00e9dia j\u00e1 usada por grupos de ransomware.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Finalmente, h\u00e1 a dimens\u00e3o de conformidade. As organiza\u00e7\u00f5es abrangidas pela NIS2 devem documentar o seu processo de gest\u00e3o de vulnerabilidades, demonstrando que monitorizam fontes oficiais, avaliam o risco e aplicam corre\u00e7\u00f5es em prazos razo\u00e1veis. Em caso de incidente e investiga\u00e7\u00e3o, conseguir provar que se acompanhava a <strong>EUVD<\/strong> e se agia sobre a informa\u00e7\u00e3o faz a diferen\u00e7a entre dilig\u00eancia demonstrada e neglig\u00eancia.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"previsoes-o-que-esperar-ate-2027\">Previs\u00f5es: o que esperar at\u00e9 2027<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Com base na trajet\u00f3ria atual, projetamos cinco desenvolvimentos para os pr\u00f3ximos 18 meses. Primeiro, a <strong>EUVD<\/strong> ganhar\u00e1 ado\u00e7\u00e3o institucional acelerada \u00e0 medida que a transposi\u00e7\u00e3o da NIS2 se completa nos Estados-Membros e a conformidade passa de aspira\u00e7\u00e3o a obriga\u00e7\u00e3o fiscalizada. Os reguladores nacionais come\u00e7ar\u00e3o a citar a base de dados europeia como refer\u00eancia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Segundo, a quest\u00e3o do financiamento permanente do CVE voltar\u00e1 \u00e0 ribalta. O acordo de 11 meses de abril de 2025 \u00e9 tempor\u00e1rio, e a CVE Foundation ter\u00e1 de demonstrar um modelo sustent\u00e1vel. Esperamos negocia\u00e7\u00f5es tensas e, possivelmente, um novo epis\u00f3dio de incerteza or\u00e7amental antes de uma solu\u00e7\u00e3o duradoura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Terceiro, a velocidade de explora\u00e7\u00e3o continuar\u00e1 a comprimir-se. Com a exfiltra\u00e7\u00e3o j\u00e1 a ocorrer em 72 minutos no quartil mais r\u00e1pido, e com ferramentas de ataque assistidas por intelig\u00eancia artificial, a janela entre divulga\u00e7\u00e3o e explora\u00e7\u00e3o tender\u00e1 para horas ou minutos. Quarto, a integra\u00e7\u00e3o entre a <strong>EUVD<\/strong> e fornecedores comerciais aprofundar-se-\u00e1, com APIs padronizadas a tornarem-se norma. Quinto, Portugal refor\u00e7ar\u00e1 o papel do CNCS, com mais recursos e mandato alargado, \u00e0 medida que a press\u00e3o regulat\u00f3ria e o volume de incidentes aumentam.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"perguntas-frequentes-sobre-a-euvd-e-o-cve\">Perguntas frequentes sobre a EUVD e o CVE<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"o-que-e-a-euvd\">O que \u00e9 a EUVD?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">A <strong>EUVD<\/strong> \u00e9 a base de dados de vulnerabilidades da Uni\u00e3o Europeia, gerida pela ENISA e lan\u00e7ada a 13 de maio de 2025. Agrega informa\u00e7\u00e3o sobre falhas de seguran\u00e7a a partir de registos CVE, avisos de fornecedores e contribui\u00e7\u00f5es dos CSIRT nacionais, oferecendo uma fonte oficial europeia para a gest\u00e3o de vulnerabilidades exigida pela diretiva NIS2.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"a-euvd-substitui-o-sistema-cve\">A EUVD substitui o sistema CVE?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">N\u00e3o. A <strong>EUVD<\/strong> n\u00e3o substitui o CVE, complementa-o. Continua a usar identificadores CVE e articula-se com o ecossistema existente. O seu valor est\u00e1 em acrescentar uma camada de soberania e resili\u00eancia europeia, para que a UE n\u00e3o dependa exclusivamente de infraestrutura sob jurisdi\u00e7\u00e3o norte-americana.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"porque-e-que-o-programa-cve-quase-acabou-em-2025\">Porque \u00e9 que o programa CVE quase acabou em 2025?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">O contrato federal que financiava a MITRE para gerir o CVE estava a expirar a 16 de abril de 2025 sem renova\u00e7\u00e3o. Horas ap\u00f3s o prazo, a CISA ativou o per\u00edodo de op\u00e7\u00e3o do contrato, restaurando o financiamento por 11 meses. O epis\u00f3dio exp\u00f4s a depend\u00eancia do programa de um \u00fanico contrato governamental.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"como-e-que-a-nis2-afeta-as-empresas-portuguesas\">Como \u00e9 que a NIS2 afeta as empresas portuguesas?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">A NIS2 alargou as obriga\u00e7\u00f5es de ciberseguran\u00e7a a muito mais setores, incluindo energia, sa\u00fade, transportes, banca, administra\u00e7\u00e3o p\u00fablica e fabrico. As entidades abrangidas em Portugal t\u00eam de fazer gest\u00e3o de risco, notificar incidentes e demonstrar que acompanham fontes oficiais como a <strong>EUVD<\/strong>. O incumprimento pode acarretar san\u00e7\u00f5es.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"qual-e-o-papel-do-cncs-e-do-cert-pt\">Qual \u00e9 o papel do CNCS e do CERT.PT?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">O Centro Nacional de Ciberseguran\u00e7a (CNCS), atrav\u00e9s do CERT.PT, coordena a resposta a incidentes e a divulga\u00e7\u00e3o de vulnerabilidades em Portugal. Emite alertas para a administra\u00e7\u00e3o p\u00fablica e operadores cr\u00edticos e articula-se com a rede europeia de CSIRT, usando fontes como a <strong>EUVD<\/strong> para contextualizar o risco nacional.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"onde-posso-consultar-a-euvd\">Onde posso consultar a EUVD?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">A <strong>EUVD<\/strong> est\u00e1 dispon\u00edvel publicamente em euvd.enisa.europa.eu. Qualquer organiza\u00e7\u00e3o ou investigador pode pesquisar vulnerabilidades, consultar detalhes t\u00e9cnicos e encontrar medidas de mitiga\u00e7\u00e3o recomendadas. O acesso \u00e9 gratuito e a base de dados \u00e9 mantida pela ENISA.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"cobertura-relacionada\">Cobertura relacionada<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"\/ciberataques-portugal-2026\/\">Ciberataques em Portugal: 2.437 por semana e o impacto na UE<\/a><\/li>\n<li><a href=\"\/attacco-ivanti-2026\/\">Falha Ivanti com CVSS 9.8: a UE atingida em horas<\/a><\/li>\n<li><a href=\"\/citrix-netscaler-luecke-2026\/\">Falha Citrix NetScaler: CVSS 9.3 e entrada no KEV em 7 dias<\/a><\/li>\n<li><a href=\"\/post-quantum-cryptography-2026\/\">Criptografia p\u00f3s-qu\u00e2ntica: metade da web j\u00e1 protegida<\/a><\/li>\n<li><a href=\"\/data-breaches\/\">Fugas de dados: como acontecem e como se proteger<\/a><\/li>\n<li><a href=\"\/security\/\">Seguran\u00e7a online: o guia pr\u00e1tico completo<\/a><\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"fontes-externas\">Fontes externas<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/euvd.enisa.europa.eu\" target=\"_blank\" rel=\"noopener nofollow\">EUVD: base de dados de vulnerabilidades da UE (ENISA)<\/a><\/li>\n<li><a href=\"https:\/\/www.enisa.europa.eu\/news\/consult-the-european-vulnerability-database-to-enhance-your-digital-security\" target=\"_blank\" rel=\"noopener nofollow\">Comunicado oficial da ENISA sobre a EUVD<\/a><\/li>\n<li><a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/news\/eu-launches-european-vulnerability-database-boost-its-digital-security\" target=\"_blank\" rel=\"noopener nofollow\">An\u00fancio da Comiss\u00e3o Europeia<\/a><\/li>\n<li><a href=\"https:\/\/krebsonsecurity.com\/2025\/04\/funding-expires-for-key-cyber-vulnerability-database\/\" target=\"_blank\" rel=\"noopener nofollow\">KrebsOnSecurity sobre o fim do financiamento do CVE<\/a><\/li>\n<li><a href=\"https:\/\/www.cybersecuritydive.com\/news\/cisa-extend-funding-cve\/745531\/\" target=\"_blank\" rel=\"noopener nofollow\">Cybersecurity Dive sobre a renova\u00e7\u00e3o do contrato CVE<\/a><\/li>\n<li><a href=\"https:\/\/www.cve.org\/\" target=\"_blank\" rel=\"noopener nofollow\">Programa CVE (site oficial)<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Durante 24 horas, em abril de 2025, o sistema que cataloga as falhas de seguran\u00e7a do mundo inteiro esteve a horas de deixar de funcionar. O contrato federal que financiava\u2026<\/p>\n","protected":false},"author":5,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-52","post","type-post","status-publish","format-standard","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/posts\/52","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/comments?post=52"}],"version-history":[{"count":0,"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/posts\/52\/revisions"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/media?parent=52"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/categories?post=52"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/pt\/wp-json\/wp\/v2\/tags?post=52"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}