O que é vulnerabilidade? Um guia simples sobre falhas de segurança

WindowsMaciPhoneAndroidAtualizado 2026-10-24

A Cartilha de Segurança para Internet, do CERT.br, define: "Vulnerabilidade é uma falha no projeto, na implementação ou na configuração de programas, serviços ou dispositivos." Ela acrescenta que, ao explorar uma vulnerabilidade, um atacante ou malware pode comprometer o computador e os dados nele, e ainda usá-lo para atacar outros computadores. Os fabricantes corrigem essas falhas com atualizações, que precisam ser aplicadas. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

Vulnerabilidade é uma falha no projeto, na implementação ou na configuração de um programa, serviço ou dispositivo, que um atacante pode explorar, segundo o CERT.br. As falhas são descobertas por pesquisadores e fornecedores, informadas a quem é responsável, corrigidas e divulgadas num comunicado. Instalar as atualizações logo é o que leva a correção até os seus aparelhos.

O que significa vulnerabilidade em segurança?

Em termos simples, é uma brecha que não deveria existir. A definição do CERT.br é a de cima. O NIST, instituto de padrões dos Estados Unidos, usa uma linguagem mais formal no seu glossário: uma fraqueza num sistema de informação, em procedimentos de segurança, em controles internos ou na implementação, que pode ser explorada ou acionada por uma fonte de ameaça.

No fascículo sobre celulares, a Cartilha usa as duas palavras juntas: sistemas e aplicativos possuem falhas (vulnerabilidades) que podem ser exploradas para invadir o dispositivo, capturar dados ou instalar malware.

Duas palavras aparecem muito ao lado dessa. O glossário do NCSC, o centro de cibersegurança britânico, define exploit como o desenvolvimento de ferramentas para tirar proveito de uma vulnerabilidade, para obter acesso não autorizado ou produzir efeitos indesejados. A vulnerabilidade é a fraqueza, e o exploit é o meio de usá-la. Já um zero-day, no mesmo glossário, é uma vulnerabilidade descoberta há pouco tempo que pode ser explorada e para a qual ainda não há correção pública.

Uma vulnerabilidade, sozinha, não é uma invasão. É uma fraqueza que pode ser usada, e por isso a orientação depois de uma descoberta é corrigi-la antes que alguém faça isso.

Como as vulnerabilidades são descobertas?

O NCSC diz que vulnerabilidades de segurança são descobertas o tempo todo, e que as pessoas querem poder informá-las diretamente à organização responsável. A agência americana CISA descreve quem as encontra como pesquisadores, fornecedores e outros, que podem enviar uma suspeita de falha à CISA para coordenação.

O NCSC incentiva as organizações a facilitar esse caminho. O seu kit de divulgação de vulnerabilidades recomenda um canal de contato claro, como um formulário seguro na web, e uma política publicada que diga o que a pessoa que reporta pode esperar. Ele também descreve o security.txt, um arquivo pequeno que o site publica para que quem encontrar um problema saiba a quem avisar.

O que é divulgação coordenada?

É o processo de corrigir e anunciar uma falha de forma organizada. A CISA diz que o seu programa de divulgação coordenada facilita a divulgação oportuna e sincronizada das informações sobre a vulnerabilidade e de qualquer medida de mitigação disponível. A ideia é que todos os envolvidos, de quem achou a falha ao fabricante e aos clientes dele, recebam as informações ao mesmo tempo.

A CISA lista as etapas: o relato é enviado, a CISA confere se ele é legítimo e está no seu escopo, trabalha com o fornecedor para confirmar a falha, decide se ela precisa de um identificador CVE, as partes combinam o texto e o momento do comunicado, e então ele é publicado. Se o fornecedor não responder ou não aceitar um prazo razoável para a correção, a CISA diz que pode divulgar a falha a partir de 45 dias depois da primeira tentativa de contato, haja correção ou não.

Como uma vulnerabilidade ganha um nome e uma correção?

Muitas recebem um número CVE. A CISA descreve o programa Common Vulnerabilities and Exposures (CVE) como um sistema reconhecido mundialmente para identificar, nomear e catalogar vulnerabilidades de cibersegurança. É por isso que os alertas citam códigos como CVE-2026-109618, e o alerta do CTIR Gov sobre o PHP lista as falhas pelos seus registros na base CVE. O guia sobre números CVE e notas CVSS explica o que os números e as notas de gravidade querem dizer.

A correção em si costuma ser uma atualização. A Cartilha explica que, para corrigir as vulnerabilidades, os fabricantes lançam correções que precisam ser aplicadas para manter o computador seguro.

Por que as atualizações importam?

Porque é a atualização que leva a correção até você. A Cartilha diz que atacantes exploram vulnerabilidades em programas para invadir computadores, coletar dados e instalar malware. Ela recomenda:

Configurar atualizações automáticas em sistemas, navegadores e demais aplicativos, e conferir de tempos em tempos se há novas atualizações, porque uma infecção por malware pode desativá-las.
Aceitar sempre as atualizações de segurança no celular e no tablet.
Manter instalados só os aplicativos que você usa. Segundo a Cartilha, quanto mais aplicativos instalados, maior a chance de que vulnerabilidades sejam descobertas e exploradas.
Usar apenas programas originais, já que os não originais podem não receber atualizações de segurança.

Os aparelhos também deixam de receber atualizações um dia. O NCSC diz que um celular que não recebe mais as atualizações de segurança do fabricante fica menos seguro.

O que o PHP2Shell mostra sobre vulnerabilidades?

O PHP2Shell é um exemplo recente do ciclo inteiro. Em 21 de outubro de 2026, o projeto PHP anunciou duas falhas críticas, CVE-2026-109618 e CVE-2026-109619, que podem permitir a execução remota de código sem login, e lançou as versões corrigidas no mesmo dia. O comunicado diz que as distribuições Linux e os fornecedores de suporte de longo prazo receberam as correções com antecedência, e a agência japonesa IPA conta que a empresa de segurança Wiz participou da investigação das falhas.

No mesmo dia, o CTIR Gov recomendou que as instituições aplicassem imediatamente as atualizações, e órgãos de outros países, como a CISA e o NCSC, também pediram que as organizações atualizassem. Em 23 de outubro de 2026, o alerta da CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação. A história completa está no nosso guia principal, vulnerabilidade no PHP (PHP2Shell).

Mais perguntas

Vulnerabilidade e falha de segurança são a mesma coisa?

Na prática, sim. A própria Cartilha usa as duas juntas, ao dizer que sistemas e aplicativos possuem falhas (vulnerabilidades) que podem ser exploradas. A definição do CERT.br fala de uma falha no projeto, na implementação ou na configuração de programas, serviços ou dispositivos.

Vulnerabilidade é o mesmo que vírus?

Não. A vulnerabilidade é a falha. A Cartilha diz que um atacante ou um malware pode explorá-la para comprometer o computador, e o NCSC chama de exploit a ferramenta criada para tirar proveito dela. Por isso a orientação é corrigir a falha antes que alguém a use.

Toda vulnerabilidade é corrigida?

Nem sempre depressa. A CISA diz que, se um fornecedor não responder ou não aceitar um prazo razoável, ela pode divulgar a falha depois de 45 dias, haja correção ou não. E software sem suporte pode não receber correção nenhuma: o PHP 8.1 e as versões anteriores não recebem mais atualizações do projeto PHP.

E se o meu aparelho não recebe mais atualizações?

O NCSC diz que um aparelho que não recebe mais atualizações de segurança do fabricante fica menos seguro, e sugere conferir na internet se um modelo ainda recebe atualizações. O mesmo vale para software: o guia o PHP é seguro? mostra como funciona o suporte das versões do PHP.

Encontrei uma falha num site. Como aviso?

Procure a política de divulgação de vulnerabilidades da organização ou o arquivo security.txt do site, que o NCSC recomenda que as organizações publiquem. Se a falha estiver no produto de um fornecedor, e não no site de uma organização só, a CISA recebe relatos para coordenação pela plataforma VINCE-NT.