Validação de exposição é a confirmação, com evidência, de que uma exposição descoberta pode ser explorada no ativo onde foi encontrada e nas condições em que ele está. Ela responde o que a varredura deixa em aberto: dos milhares de itens da fila, quais têm caminho aberto agora. O Gartner nomeou a categoria de mercado dessa prática em 24 de março de 2026, sob o rótulo adversarial exposure validation (AEV).
O relógio do adversário encolheu de 756 dias para minutos
756 dias em 2018. Cerca de 32 dias em 2022. Algo perto de cinco dias no fim de 2023.
É essa a distância entre a divulgação de uma falha e o primeiro exploit funcional, na série que a Cloud Security Alliance publicou em 25 de abril de 2026, no documento The Collapsing Exploit Window: AI-Speed Vulnerability Weaponization.
O que mudou de natureza no último ano está na mesma publicação. Um modelo de linguagem escreve prova de conceito funcional para uma CVE já publicada em dez a quinze minutos, por perto de um dólar a tentativa. O experimento CVE-Genie, citado ali, reproduziu 51% das CVEs de 2024 e 2025 com exploit funcional, a 2,77 dólares cada. O trabalho que antes exigia um pesquisador com semanas livres hoje cabe num cartão pré-pago.
O número mais incômodo vem de outra casa. No State of Exploitation 2026, de 21 de janeiro, a VulnCheck registrou que 28,96% das vulnerabilidades com exploração observada em 2025 já estavam sendo exploradas na data de publicação da CVE, ou antes dela. No levantamento anterior esse número era 23,6%. Para quase um terço dos casos, o dia da divulgação já chega atrasado.
E o volume acompanhou. A previsão do FIRST divulgada em junho de 2026 aponta cerca de 66 mil CVEs no ano, empurradas em boa parte pela descoberta assistida por IA do lado da pesquisa. Mais falhas publicadas por mês, exploradas mais rápido, contra a mesma equipe de sempre.
Esse relógio dá para ver de dentro. O ThreatSensor acompanha as CVEs que já têm sinal de exploração, e o corte por ano de publicação mostra a curva virando. Entre 2020 e 2025, de 29% a 44% delas apareciam exploradas em até cinco dias. Em 2026 são 62%. A fatia que já estava sendo explorada no próprio dia da publicação saiu de 24% em 2025 para 52% em 2026.
Uma ressalva antes que alguém a faça por nós: 2026 é ano em curso, e CVE publicada há pouco ainda não teve tempo de acumular exploração tardia, o que empurra a ponta para cima. A distância para os seis anos anteriores continua grande demais para ser só isso.
O que a varredura agendada consegue responder
Varredura agendada responde uma pergunta de inventário: o que existia no parque na última vez em que o scanner rodou. A pergunta é legítima. A resposta tem a granularidade do ciclo, sete dias numa varredura semanal, trinta numa mensal.
Enquanto o exploit levava semanas para aparecer, esse arredondamento era tolerável. Com o exploit saindo em horas, o relatório de segunda-feira descreve um estado que mudou antes de alguém abrir o arquivo.
Existe um segundo efeito, mais silencioso que o primeiro. O PDF congela a fila no instante em que foi gerado. Se uma CVE de nota média entra em campanha ativa na quarta, o documento distribuído na segunda continua mostrando aquele item na posição 400, e o time que trabalha de cima para baixo não chega nele antes do ciclo seguinte. A ordem envelhece mais rápido que o conteúdo.
A janela de exposição mede essa distância em horas ou dias, por ativo. Quando a mediana do parque é de uma semana, cada ativo novo deu seis dias de vantagem antes de entrar no radar. Nenhuma priorização recupera esse atraso depois.
Por que a fila ordenada por CVSS piora conforme o volume cresce
O CVSS mede gravidade técnica em condições ideais para o atacante. Ele não diz nada sobre a probabilidade de alguém tentar, nem sobre o seu ambiente. Com 66 mil CVEs previstas para 2026, ordenar por gravidade teórica coloca dezenas de milhares de candidatos numa fila cuja ordem tem pouca relação com o que vai ser usado contra você.
O recorte que importa é pequeno, e não coincide com o topo dessa fila. A VulnCheck identificou 884 vulnerabilidades com primeira evidência de exploração em 2025, espalhadas por 518 fornecedores e 672 produtos, enquanto a CISA catalogou 245 no mesmo período. Entre uma previsão de 66 mil publicações e algumas centenas com exploração observada há duas ordens de grandeza, e é essa distância que a priorização precisa atravessar.
Na nossa base o desencontro aparece por outro ângulo. Das 917 CVEs com nota atribuída que estão sob exploração observada, 450 têm CVSS abaixo de 9, e 97 são de gravidade média ou baixa. Quase metade do que está sendo usado contra alguém não chega perto do topo de uma fila ordenada por gravidade.
O DBIR 2026 da Verizon mostra o custo de não atravessar. O tempo mediano para corrigir subiu de 32 para 43 dias, e apenas 26% das falhas do catálogo de exploração conhecida da CISA estavam totalmente corrigidas. A fila ficou mais lenta justamente no subconjunto que já se sabe estar sob ataque.
O que a validação de exposição acrescenta à varredura
Validação de exposição acrescenta ao achado uma evidência: a demonstração de que o caminho existe naquele ativo. Um scanner compara versão de componente e conclui que a CVE se aplica. A validação verifica se o componente vulnerável responde de onde o adversário está, se as pré-condições da CVE valem ali, e se existe uma sequência que leva ao efeito descrito. As três condições estão abertas no verbete de validação de exploitabilidade.
A evidência tem qualidade variável, e o achado precisa dizer qual delas sustentou a conclusão. Um retorno por canal fora de banda comprova o caminho de forma direta. Uma diferença no tempo de resposta sugere, e só.
Programa honesto separa o que ficou comprovado do que ficou apenas provável. Achado sem grau de confiança explícito volta a ser opinião com uma nota anexada.
Validação feita uma vez descreve um instante. Configuração muda. Correção reverte no deploy seguinte. Ativo novo entra em operação numa terça à tarde, e a inteligência de exploração da semana reclassifica o que era teórico até ontem. Por isso a prática só sustenta decisão quando é recorrente, e é isso que o verbete de validação contínua descreve.
AEV: o nome que o Gartner deu a essa camada
Em 24 de março de 2026 o Gartner publicou o Market Guide for Adversarial Exposure Validation. A definição do documento: tecnologias que entregam evidência consistente, contínua e automatizada da viabilidade de um ataque, executando cenários de ataque e medindo o resultado para provar a existência e a exploitabilidade das exposições.
A categoria absorve dois rótulos que o Gartner tratava em separado no Hype Cycle de 2023, a simulação de brecha e ataque (BAS) e o teste de intrusão automatizado. O guia projeta que até 2029 60% das organizações terão adotado uma prática estruturada de validação de exposição dentro de um programa de gestão contínua de exposição.
O rótulo novo resolve um problema de catálogo e deixa o de execução onde estava. Serve como sinal de que a etapa de validação saiu da lista de opcionais do ciclo. Serve pouco como critério de compra, porque a mesma palavra apareceu em material de praticamente todo fornecedor da categoria nos últimos doze meses.
Como mudar a cadência sem aumentar o time
A mudança que cabe no orçamento de hoje está no gatilho. Em vez de subir a frequência da varredura completa, separe o trabalho em três camadas com disparos diferentes.
Disparo por evento. Ativo novo respondendo na internet, mudança de configuração em ativo já conhecido e publicação de CVE com exploração observada justificam validar na hora. Nenhum dos três espera o calendário.
Revalidação pós-correção. Confirmar que a correção continua de pé depois do deploy seguinte custa pouco, e captura a reversão silenciosa, que é a forma mais comum de reincidência num parque externo.
Teste profundo periódico. Lógica de negócio, cadeia de autorização e abuso de fluxo continuam exigindo gente. Essa parte permanece em ciclo, agora sobre uma fila bem menor.
O ganho nas três camadas vem do mesmo lugar. A fila que chega ao time de correção passa a ter dezenas de itens com evidência, no lugar de milhares com nota.
Três números para medir o programa
Taxa de validação. Achados que passaram por verificação de exploitabilidade divididos pelo total do período. Na maioria dos programas fica abaixo de 5%, e o número não sobe com mudança de critério interno.
Tempo até a revalidação. Quantas horas passam entre uma CVE ganhar exploração observada e o seu parque ser reexaminado para ela. É o relógio da primeira seção traduzido para dentro de casa.
Janela de exposição mediana. Horas descrevem um programa que opera na cadência da mudança. Um dia é aceitável na maior parte dos contextos. Uma semana significa seis dias de vantagem entregues a cada ativo novo.
Os três cabem numa tarde de levantamento e dizem mais sobre o programa que qualquer contagem de achados abertos. O mesmo raciocínio aparece aplicado em dois testes para separar programa preemptivo de programa periódico.
Onde a CSURFACE entra, e onde ela para
Se o exploit sai em horas e a fila por score não acompanha, a pergunta que importa deixa de ser quantas CVEs você tem. Passa a ser quais delas um atacante explora de fora, agora. É essa a pergunta que a CSURFACE responde. A plataforma audita a cobertura do scanner que a instituição já paga e prova, com a evidência que o próprio alvo devolve, o que é explorável na superfície externa.
E isso não fica na retórica. O fenômeno que este artigo citou de terceiros é medido aqui com telemetria própria, no ThreatSensor, que é público e gratuito. Onde a Cloud Security Alliance fala em cerca de cinco dias até o primeiro exploit, a mediana da nossa base é de um dia. Em 56,5% dos casos monitorados o exploit público já existia na data em que a CVE foi publicada, e a VulnCheck chega aos 28,96% dela contando exploração observada, que é um critério mais estreito que código publicado.
Acompanhe uma dessas CVEs desde o começo.
Ela sai numa terça, com score de exploração zero. Ninguém olha. Não existe exploit público nem notícia, então ela entra na fila na posição que o score mandou, lá no fundo. Em algum lugar do mundo tem gente escrevendo o exploit naquele exato momento, só que isso não aparece em lugar nenhum.
Semanas depois a CISA confirma que a falha está sendo usada em ataque. O score sobe. Num Tenable ou num Qualys esse número se atualiza sozinho, e o item que estava na posição 400 amanhece no topo do painel. A ferramenta fez o trabalho dela. O que ela não podia fazer era subir o item antes de existir evidência pública, e essa evidência só apareceu porque alguém já tinha sido atacado.
Não é caso isolado. Nas cinquenta CVEs mais recentes a entrar no catálogo da CISA, metade estava com score zero na véspera.
Dá para recuperar parte desse atraso prevendo? Em parte. Tomamos as 82 CVEs que entraram no catálogo desde 2024 e perguntamos quantas cada sinal teria posto no topo da lista antes da confirmação. O EPSS sozinho acerta 23. O modelo da CSURFACE acerta 35. Juntos, 44.
Sobram 38, quase metade, que nenhum dos dois viu chegar.
É esse último número que decide como o programa é montado. Para metade dos casos o aviso e o ataque chegam no mesmo dia, e fila nenhuma, por melhor ordenada que seja, muda isso. O que sobra é saber o que está exposto e provar o que dá para alcançar, rápido, justamente no caso que ninguém antecipou. Os números são de 17 de setembro de 2026, e a base está aberta na página de analytics para quem quiser refazer a conta.
Tem um efeito aqui que é boa notícia disfarçada de manchete ruim. A instituição pode passar meses sem um único achado explorável do lado de fora. Isso não é a plataforma parada. É a resposta que o auditor e o regulador querem ver, e a descoberta segue trabalhando no intervalo: o que aparece é o ativo que ninguém tinha inventariado, a empresa do grupo que respondia na internet fora do radar do scanner interno. Prova de que se está limpo é entregável de conformidade, não um vazio.
Os números deste artigo saíram da nossa telemetria, e ela está aberta. O relatório completo, com a série ano a ano, a metodologia para refazer cada conta e um sumário de uma página para levar ao board, está em O Relógio do Exploit.
O relógio de 756 dias virou um relógio de minutos em oito anos. A varredura semanal continua rodando no mesmo horário de 2018, e é essa distância que a CSURFACE mostra, com prova, na superfície externa da sua instituição.
Perguntas frequentes
O que é validação de exposição?
É a confirmação, com evidência, de que uma exposição descoberta pode ser explorada no ativo em que foi encontrada e nas condições em que ele está. A varredura aponta que uma versão vulnerável existe. A validação demonstra que o caminho até o efeito descrito está aberto, e entrega essa demonstração junto com o achado.
Qual a diferença entre validação de exposição e varredura de vulnerabilidades?
A varredura compara versões e configurações contra uma base de falhas conhecidas, produzindo candidatos. A validação testa esses candidatos no ativo real e devolve prova. Uma fila de 3.000 itens sem validação e uma de 40 itens validados podem descrever a mesma empresa, com a diferença de que só a segunda dá para executar.
O que é AEV, ou validação adversarial de exposição?
É o nome que o Gartner deu à categoria de mercado no Market Guide for Adversarial Exposure Validation, de 24 de março de 2026. O documento define AEV como tecnologias que entregam evidência consistente, contínua e automatizada da viabilidade de um ataque, e projeta que até 2029 60% das organizações terão uma prática estruturada de validação de exposição dentro do CTEM.
Quanto tempo leva hoje entre a publicação de uma CVE e o primeiro exploit?
Para boa parte dos casos, tempo nenhum. A VulnCheck registrou, em 21 de janeiro de 2026, que 28,96% das vulnerabilidades com exploração observada em 2025 já estavam sendo exploradas na data de publicação da CVE ou antes dela. Quando o exploit ainda não existe na divulgação, a Cloud Security Alliance documentou em abril de 2026 que um modelo de linguagem produz prova de conceito funcional em dez a quinze minutos.
Varredura agendada ainda serve para alguma coisa?
Serve, e continua sendo a base do inventário de vulnerabilidades no parque conhecido. O que ela não entrega é cadência e prova. A saída prática é manter o ciclo periódico para cobertura ampla e acrescentar validação disparada por evento para o que muda entre um ciclo e outro.
Por onde começar quando o time é pequeno?
Pela taxa de validação do último trimestre. Se o número não existe, essa é a lacuna a fechar antes de qualquer refinamento de priorização, porque uma fila ordenada com precisão sobre achados não verificados continua ordenando ruído. Os termos citados neste artigo estão no glossário.