Patch Tuesday: não conte CVEs — conte ativos exploráveis e mudanças que consegue reverter

Seis sinais respondem a perguntas diferentes

CVSS descreve características técnicas; EPSS é probabilidade estimada; KEV é evidência de exploração conhecida; o fornecedor define produtos e correções. O inventário diz se a falha existe na sua frota, e o negócio diz o impacto.

NIST trata patching como manutenção preventiva e inclui identificar, priorizar, adquirir, instalar e verificar. Saltar a verificação cria o falso estado `patched` enquanto reboots, falhas de instalação ou versões paralelas continuam vulneráveis.

Use uma fila ordenada por risco e confiança de execução

A prioridade máxima combina exploração conhecida ou provável, ativo exposto, alto privilégio e serviço crítico. Mas uma alteração sem rollback conhecido pode exigir contenção imediata e um canário, não um rollout cego.

Registe também o caminho quando o patch não é aplicável: desativar função, fechar exposição, isolar, aumentar deteção ou retirar o ativo. Controlos compensatórios têm validade e teste, não são adiamentos indefinidos.

Feche a janela com reconciliação, não com o fim do instalador

Compare ativos esperados, tentados, instalados, ativos e falhados. Investigue diferenças e mantenha exceções visíveis com prazo. Valide autenticação, rede, impressão, browsers, aplicações críticas e telemetria por coorte.

Se surgir regressão, preserve o pacote, versão, logs e hardware afetado. Um rollback controlado é sucesso do processo, não razão para esconder o evento.

• Não ordenar apenas por CVSS.
• Não fechar por resultado do deployment central sem prova do endpoint.
• Não aplicar globalmente antes de canário representativo.
• Não aceitar compensação sem validade e reteste.