Três alertas podem ser uma vulnerabilidade — e vários trabalhos

O que a base agrega e o que a equipa tem de descobrir

A ENISA anunciou a entrada em operação da EUVD em 13 de maio de 2025. A base agrega informação de vulnerabilidades, incluindo produtos, medidas de mitigação e estado de exploração, a partir de diferentes origens. Não estamos a anunciar um lançamento em setembro de 2026. Em novembro de 2025, a agência explicou também a sua função de Root no programa CVE, que identifica e cataloga vulnerabilidades divulgadas.

A orientação FIRST para CVSS v4.0 distingue severidade de risco: o Base Score não incorpora, por si só, o contexto de ameaça e o ambiente da organização. Por isso, nem a existência de um identificador nem uma pontuação elevada dizem quais dos seus serviços estão expostos. Essa ligação exige inventário e análise local.

Perspetiva Velqory: dois registos ligados, em vez de uma fila opaca

Propomos um registo de conhecimento por vulnerabilidade e um registo de trabalho por ativo afetado. O primeiro guarda identificadores associados, avisos originais, versões afetadas e datas de consulta. O segundo guarda o serviço, o responsável, a versão instalada, a exposição e a ação. Uma atualização da fonte pode alterar vários trabalhos sem apagar o histórico de cada um.

Exemplo hipotético: três feeds referem o mesmo identificador, presente em dois serviços diferentes. O resultado não deve ser três tarefas idênticas nem uma tarefa que encerra ambos sem inspeção. Deve ser uma referência comum e dois percursos de verificação. Se as fontes discordarem sobre versões, conserve as duas afirmações, identifique a origem e mantenha a aplicabilidade por resolver até confirmação.

• Identidade: comparar os identificadores e avisos associados; títulos semelhantes não bastam para juntar registos.
• Exposição: verificar produto, versão ativa, configuração e acessibilidade relevantes para o aviso.
• Decisão: registar corrigir, mitigar ou não aplicável, com evidência e um responsável que possa explicar a escolha.

Como saber se a correlação está a ajudar

Reveja uma amostra limitada da fila antes e depois da correlação. Conte tarefas repetidas, ativos sem responsável e fechos sem verificação posterior. Não anuncie melhoria porque o número total de tickets caiu: pode ter eliminado duplicados ou pode ter escondido exposição. Registe separadamente estas duas possibilidades.

O fecho proposto exige confirmar o estado em execução, não apenas o sucesso do instalador. Quando só existe mitigação, mantenha visíveis as condições dessa medida e o momento de nova revisão. Esta é uma proposta de controlo, não um teste realizado na sua infraestrutura. A consulta da EUVD também não substitui qualquer canal legal de notificação aplicável a um incidente.