A anatomia de um CVE: como a Commvault protege seus clientes

Pontos principais

Um CVE é um identificador globalmente exclusivo para uma vulnerabilidade de software divulgada publicamente, permitindo que fornecedores, pesquisadores e especialistas em segurança se refiram a ela de maneira consistente.
A abordagem de uma organização em relação à divulgação de vulnerabilidades — incluindo correções coordenadas, envolvimento de pesquisadores e inventário preciso de software — é um forte indicador da maturidade geral em segurança.
A Commvault protege seus clientes por meio de um programa de CVE que se caracteriza pela transparência, regularidade e clareza. A divulgação de CVEs diz muito sobre a maturidade de um programa de segurança e engenharia.

Por que isso é importante

Muitas violações de segurança que chegam à diretoria têm origem em vulnerabilidades de software. O mecanismo utilizado por todo o setor para nomear e descrever essas vulnerabilidades é o CVE (Common Vulnerabilities and Exposures). A forma como um fornecedor — ou a própria organização — lida com os CVEs é um dos indicadores mais claros de maturidade em segurança.

Uma empresa que divulga e reconhece os pesquisadores de forma justa costuma ser uma empresa que leva a sério a engenharia subjacente. Este blog explica como um CVE é criado, quem administra o sistema e o que diferencia uma divulgação exemplar de uma inadequada.

Além do CVE: Por que a filosofia da divulgação é importante

A publicação de um CVE é o mínimo necessário. Os fatores que fazem a diferença são: transparência em relação à vulnerabilidade e à correção, verificações e aplicações regulares de correções, além de uma comunicação clara. A Commvault encara a divulgação como uma disciplina de engenharia e segurança, e não apenas como um requisito de conformidade a ser cumprido: estabelecer uma frequência para a revisão de código e correção de falhas, comunicar a correção em linguagem simples e proteger nossos clientes. Essa consistência, mais do que qualquer pontuação isolada, é o que a divulgação de CVEs revela sobre a maturidade em segurança.

O que é, na verdade, um CVE

Um CVE não é um patch, uma pontuação nem um malware. É uma entrada no dicionário que atribui a uma vulnerabilidade específica e de conhecimento público um nome permanente e exclusivo, para que todos possam se referir a ela. O próprio identificador segue um formato simples e duradouro: as letras CVE, o ano em que o identificador foi atribuído e um número sequencial; por exemplo, CVE-2021-44228.

A dimensão do programa é enorme e continua crescendo: 48.000 CVEs foram publicados em 2025, a uma média de 132 por dia, o que representa um aumento de mais de 260% desde 2020.

A estrutura de um único registro

As publicações do CVE exigem um conjunto consistente de elementos. A leitura de uma delas é simples, desde que você saiba qual é a função de cada parte:

Identificador: o código único CVE-AAAA-NNNNN
Descrição: uma explicação concisa da vulnerabilidade: o que ela é e como um agente mal-intencionado poderia explorá-la.
Produtos e versões afetados: quais softwares, hardwares ou firmwares (e quais versões) foram afetados, e quais versões contêm a correção.
Criticidade: a categoria de criticidade subjacente.
Referências: links para o comunicado do fornecedor, o patch e artigos técnicos.

O elenco coadjuvante: CVSS, CWE, EPSS e KEV

Quatro sistemas complementares transformam um CVE em algo que uma empresa pode priorizar. É fácil confundir um com o outro, por isso vale a pena ter essa distinção em mente:

O CVSS (Common Vulnerability Scoring System) responde à pergunta “Qual é o grau de gravidade?”. O CVSS é a classificação de gravidade (de 1 a 10, sendo 10 o mais grave) da falha, e não uma medida de sua exposição específica.
O EPSS (Exploit Prediction Scoring System) responde à pergunta: “Qual é a probabilidade de que isso seja explorado em breve?”. O EPSS gera uma pontuação de probabilidade, de zero a 100 por cento, estimando a probabilidade de que uma vulnerabilidade seja explorada nos próximos 30 dias.
O CWE (Common Weakness Enumeration) responde à pergunta “Que tipo de erro causou isso?”. O CWE classifica a falha de codificação subjacente.
O KEV (Vulnerabilidades Conhecidas e Exploradas) responde à pergunta: “Essa vulnerabilidade está sendo usada contra as pessoas neste momento?”. O catálogo do KEV é uma lista selecionada de CVEs com exploração confirmada no mundo real.

Uma pontuação alta no CVSS indica o grau de gravidade de uma vulnerabilidade; uma pontuação alta no EPSS indica a rapidez com que ela provavelmente será explorada; e a inclusão no catálogo KEV confirma que a exploração já está ocorrendo. Os melhores programas de gerenciamento de vulnerabilidades levam em consideração esses três fatores.

Perguntas frequentes

P: O que é um CVE e por que ele é importante?
R:
Um Common Vulnerability and Exposure (CVE) é um identificador padronizado atribuído a uma vulnerabilidade de software divulgada publicamente. Ele permite que todos — desde fornecedores e pesquisadores até órgãos reguladores e clientes — se refiram à mesma vulnerabilidade sem ambiguidade.

P: Quais informações um registro CVE bem estruturado deve conter? R:
Um registro CVE completo requer um identificador único, uma descrição da vulnerabilidade, os produtos e versões afetados, o nível de gravidade e referências a alertas ou patches do fornecedor. Esses elementos permitem que as organizações compreendam sua exposição e respondam de forma eficiente.

P: Em que o CVSS, o CWE, o EPSS e o KEV diferem de um CVE?
R:
Um CVE identifica uma vulnerabilidade específica, enquanto o CVSS mede sua gravidade, o EPSS estima a probabilidade de exploração no curto prazo, o CWE classifica a falha de codificação subjacente e o KEV identifica vulnerabilidades que estão sendo ativamente exploradas no mundo real. Juntas, essas estruturas ajudam a fornecer o contexto necessário para priorizar a correção.

P: O que a Commvault busca em suas próprias práticas de divulgação?
R:
A Commvault aplica às suas próprias divulgações os mesmos padrões que espera dos demais: transparência, regularidade e clareza. É assim que a Commvault protege seus clientes.

P: O que os líderes empresariais devem levar em consideração ao avaliar as práticas de gerenciamento de vulnerabilidades dos fornecedores?
R:
Os líderes devem buscar cronogramas coordenados de divulgação, registros CVE abrangentes e precisos, orientações claras para correção, programas robustos de geração de relatórios e a capacidade de determinar rapidamente se os produtos são afetados por vulnerabilidades recém-divulgadas. Essas características refletem uma forte cultura de segurança e aumentam a resiliência organizacional. Werner Nel é gerente sênior de experiência do produto na Commvault.