Edição de 23/09: uma CVE não decide sozinha o reporte CRA

A decisão é qualificar, não preencher

Para um fabricante, receber uma referência CVE deve abrir uma pergunta sobre o produto, não uma conclusão automática de reporte. Esta edição destina-se à equipa de segurança de produto e a quem assume a decisão regulatória. Não relata uma exploração em 23 de setembro; recupera um problema de qualificação com fontes e revisão de outubro.

O artigo 14.º, n.º 1, determina a notificação pelo fabricante de vulnerabilidade ativamente explorada existente no produto com elementos digitais de que tenha conhecimento. O objeto desta análise é esse gatilho. Não substitui a avaliação distinta de um incidente grave que afete a segurança do produto.

Separar três afirmações

A definição do artigo 3.º exige prova fiável de exploração maliciosa e não autorizada. Uma equipa deve separar «há uma vulnerabilidade identificada», «alguém demonstrou que pode explorá-la» e «existe evidência da exploração relevante». Confundir estas frases altera a decisão; classificá-las não significa adiar contenção enquanto a certeza é incompleta.

A CISA também distingue, nos critérios KEV, exploração em ambiente real de scanning, investigação e simples existência de prova de conceito. Essa taxonomia ajuda a formular perguntas técnicas, mas não é uma equivalência jurídica automática entre KEV e CRA. O produto, o papel da entidade e a evidência concreta continuam a precisar de análise.

Um registo de conhecimento utilizável

Proposta original Velqory: abrir uma ficha com produto, versão, origem recebida, conteúdo relevante e pessoa que o avaliou. Separar a hora de receção de um alerta da descrição fundamentada do que foi conhecido. Não apagar mensagens contraditórias; preserve o motivo da classificação e as reservas.

Se a origem apenas reproduz outra página, procure o aviso primário e registe a cadeia. Um título com a expressão «em exploração» não deve ser transformado em prova isolada. Quando o fabricante não dispõe de elementos suficientes para concluir, atribua a investigação a uma pessoa e a revisão a outra, com próximo ponto de decisão.

O que cada responsável deve confirmar

Esta matriz proposta não cria um novo limiar legal nem exige aguardar um conjunto perfeito antes de agir. Serve para tornar visíveis lacunas, separar contenção de qualificação e permitir que o decisor encontre a origem de cada conclusão. A resposta «não sabemos» é aceitável como estado de trabalho, não como fecho.

A demonstração foi autorizada

Cenário hipotético: um investigador envia uma demonstração realizada no laboratório que o fabricante autorizou. O exercício pergunta se há, além desse ensaio, evidência fiável de exploração maliciosa não autorizada. Não acrescente um atacante ou uma vítima para tornar a história mais convincente.

Mesmo sem essa evidência adicional, a equipa pode propor corrigir e reduzir exposição. O critério editorial de falha é escrever «ativamente explorada» apenas porque a demonstração funcionou. O critério de passagem é uma conclusão delimitada, que indique o que foi demonstrado, o que não foi confirmado e que sinal obrigará a rever.

Encaminhar sem confundir investigação e envio

A ENISA descreve a SRP como canal de reporte de vulnerabilidades ativamente exploradas e incidentes graves nos produtos abrangidos. Essa função é diferente da investigação técnica de uma ficha. Este artigo não testa a plataforma nem declara que um rascunho foi submetido.

A recomendação Velqory é entregar ao responsável de reporte um resumo rastreável, mantendo em separado os detalhes sensíveis. Não presuma que todos os campos em falta suspendem deveres aplicáveis; uma decisão deve ser avaliada contra o texto legal e revista quando chegam novos elementos. Qualificar bem significa saber justificar tanto a afirmação como os seus limites.