Quase 70% das falhas em sistemas de empresas brasileiras são graves

Quase sete em cada dez vulnerabilidades confirmadas em sistemas de empresas brasileiras, entre setembro de 2025 e o mesmo período deste ano, foram classificadas como críticas ou altas. Os dados constam de um relatório da BugHunt, plataforma nacional de recompensa por erros de segurança, compartilhado com exclusividade com o TecMundo.

A proporção subiu de 58,2% para 68,5% na comparação com os 12 meses anteriores. Segundo os pesquisadores da empresa, o salto veio sobretudo das falhas de gravidade alta, que passaram de 26,3% para 40,8% do total e se tornaram as ocorrências mais frequentes nos testes.

O que são as falhas de gravidade alta

Esse tipo de brecha costuma permitir que um cliente veja dados de outros usuários ou que um perfil comum acesse funções reservadas a administradores. Em outras palavras, a falha não derruba o sistema, mas abre caminho para vazamento de informação e escalada de privilégios.

As falhas de gravidade média caíram de 36,1% para 22% do total, enquanto as críticas recuaram de 31,8% para 27,8%. As de gravidade baixa subiram para 9,5%. Ou seja, o volume de achados menos severos encolheu e a fatia das mais perigosas cresceu.

Os pesquisadores da BugHunt atribuem a alta à complexidade dos ambientes corporativos. Para Caio Teles, co-fundador da empresa, os sistemas ganharam várias camadas de integração que dependem umas das outras, e uma falha em uma delas pode se propagar para as demais.

Brechas repetidas entre pesquisadores

O estudo também encontrou que 15,1% dos relatórios fechados no período descreviam uma vulnerabilidade que outro pesquisador já tinha enviado antes. Na prática, a mesma brecha foi achada por pessoas diferentes, por caminhos próprios. Para a empresa, isso indica que um atacante mal-intencionado também poderia chegar ao mesmo ponto fraco.

Vale notar que o levantamento avaliou companhias que já mantêm programas estruturados de segurança. Os números, segundo a BugHunt, mostram os riscos que permanecem mesmo em ambientes testados de forma contínua, e não a média do mercado como um todo.

Como a BugHunt recomenda tratar as falhas

A recomendação da plataforma é mudar a forma como as equipes organizam o reparo. Em vez de atender os chamados pela ordem de chegada, as organizações devem priorizar as falhas confirmadas pela gravidade.

O executivo Bruno Telles defende que o tratamento de uma falha grave precisa ter metas claras. Para ele, o tempo de resposta é o que define o nível real de proteção de uma organização. A fila de chamados, nesse modelo, deixa de ser um registro de entrada e passa a ser uma ordem de risco.

Para quem administra sistemas corporativos, o recado do levantamento é objetivo: a maior parte do que aparece nos testes já é de severidade alta ou crítica, e a repetição de achados sugere que o intervalo entre descoberta e correção pesa tanto quanto a própria falha. Vale rever a regra de triagem e fixar prazos por nível de gravidade, antes que a mesma brecha seja encontrada por quem não avisa.