Os dados revelam uma explosão sem precedentes no volume de ameaças nos últimos quatro anos. Os eventos de vulnerabilidades resolvidas dispararam 6,5 vezes, saltando de 73 milhões em 2022 para impressionantes 473 milhões em 2025. Perante este tsunami de incidentes, os processos de remediação manual estão a provar ser manifestamente insuficientes. O estudo aponta que as equipas de segurança deixaram 63% das vulnerabilidades críticas por resolver ao fim de sete dias em 2025, um agravamento preocupante face aos 56% registados no início do período de análise.
Uma das descobertas mais alarmantes do relatório é o facto de a exploração anteceder cada vez mais a própria divulgação das falhas. O tempo médio até à exploração caiu para menos de 24 horas, o que significa que os atacantes estão a comprometer os sistemas antes mesmo de as vulnerabilidades se tornarem de conhecimento público. Devido a esta antecipação criminosa, o indicador tradicional de Tempo Médio de Remediação (MTTR) deixou de refletir o risco real a que as organizações estão sujeitas, mascarando a verdadeira janela de exposição ao perigo.
Para contornar esta falha de medição, a Qualys utilizou a Janela Média de Exposição (AWE), que calcula o tempo exato entre a exploração e a correção. Os resultados mostram que 85% dos ativos vulneráveis continuavam sem correção no momento da divulgação da falha, com 33% a permanecerem expostos após três semanas e 12% ao fim de três meses. As ameaças de dia zero (zero-day) dominam o panorama crítico, com casos extremos identificados, como uma vulnerabilidade no kernel do Windows que foi ativamente explorada 182 dias antes de ser revelada ao público.
Apesar da magnitude dos números gerais, a investigação traz um dado tranquilizador que reforça a importância de focar os esforços: menos de 1% das vulnerabilidades representam um risco efetivo. Das mais de 48 mil falhas divulgadas em 2025, apenas 357 eram exploráveis remotamente e estavam a ser usadas por atacantes. Sergio Pedroche, Country Manager da Qualys Iberia, alerta que, pela primeira vez, os adversários adquiriram capacidades autónomas superiores à capacidade de resposta humana. Neste contexto, as defesas corporativas têm obrigatoriamente de evoluir para modelos igualmente autónomos, usando a IA para separar o "ruído" das ameaças críticas.
