00:00:00O ano passado foi um ano recorde para a cibersegurança, e não de um jeito bom.
00:00:04Mais de 48.000 CVEs foram publicados no ano passado, e este é oficialmente o maior número
00:00:10de vulnerabilidades descobertas em um único ano.
00:00:13E parece que as coisas não vão ficar nada fáceis daqui para frente.
00:00:17Neste vídeo, vamos analisar as estatísticas a fundo para entender por que o número
00:00:22de vulnerabilidades está disparando e o que podemos fazer a respeito.
00:00:29As vulnerabilidades aumentaram 18% no ano passado, o que significa uma média de 130 novas
00:00:35falhas de segurança descobertas todos os dias do ano.
00:00:39O que é ainda mais assustador é que, no início de 2025, cerca de 28% dos exploits observados foram lançados
00:00:46em até um dia após a divulgação da vulnerabilidade.
00:00:49Isso significa que, quando os desenvolvedores lançavam uma correção, os invasores já estavam
00:00:54explorando ativamente e visando sistemas.
00:00:57E, nem precisa dizer, a codificação por IA tornou tudo mais fácil em ambas as frentes.
00:01:01Com o aumento do "vibe coding", novos sistemas ficam expostos a vulnerabilidades inéditas devido
00:01:07a medidas de segurança mais fracas implementadas por agentes de codificação de IA.
00:01:11E, do lado do invasor, nunca foi tão fácil e rápido escanear um sistema em busca de problemas críticos
00:01:17e gerar rapidamente um script que pudesse explorar ativamente essas novas vulnerabilidades.
00:01:22Mas, ao observar os tipos de exploits, surpreendentemente, o cross-site scripting
00:01:27e a injeção de SQL ainda são os vetores de ataque mais populares.
00:01:32Portanto, implementar uma sanitização de entrada adequada em seus apps ou sistemas é uma das coisas
00:01:38mais fáceis que você pode fazer para se proteger.
00:01:40E se estivermos falando de frameworks web específicos, o WordPress continua sendo a maior fonte
00:01:45de novos CVEs, com cerca de 7.000 novas vulnerabilidades descobertas apenas nele.
00:01:52Por isso, eu recomendaria cautela ao usar o WordPress.
00:01:55Mas se você planeja usar o WordPress em seus próximos projetos, certifique-se de usar o mínimo
00:02:00de plugins possível, pois a grande maioria, 90% dos bugs do WordPress, vem de plugins de terceiros,
00:02:07outros 6% de temas e apenas 4% vêm do software principal do WordPress.
00:02:15Ou seja, o núcleo do WordPress é relativamente seguro, mas os plugins costumam ser mal mantidos e
00:02:21alguns problemas podem acabar sendo negligenciados.
00:02:23Mas isso levanta uma questão importante.
00:02:25Quais linguagens e frameworks são relativamente seguros?
00:02:28Bem, os dados mostram que, em média, linguagens com segurança de memória como Rust, Java, Go, C#, Python
00:02:36ou Swift são consideradas mais seguras do que linguagens inseguras como C, C++ ou assembly, porque
00:02:43estas últimas permitem a manipulação direta de ponteiros.
00:02:47E pesquisas mostram que cerca de 70% de todas as vulnerabilidades de alta gravidade em grandes
00:02:52bases de código, como as da Microsoft e do Google, são causadas por problemas de segurança de memória.
00:02:59Uma grande mudança em 2025 foi a pressão agressiva de organizações como a CISA, a NSA e
00:03:06a Casa Branca para que os desenvolvedores abandonem linguagens inseguras na memória.
00:03:11Também vale a pena observar a densidade do código ao avaliar o risco de vulnerabilidade, pois os dados
00:03:16do Google de 2025 indicam que o código Rust tem uma densidade de vulnerabilidade de 0,2 por milhão de linhas,
00:03:26comparado a quase 1.000 por milhão de linhas em códigos históricos de C ou C++.
00:03:32E isso faz todo o sentido, pois C e C++ existem desde os anos 70 e possuem
00:03:37muito código legado que ainda carrega vulnerabilidades potenciais não corrigidas.
00:03:42Então, se você estava em dúvida entre escolher C ou Rust para seu próximo projeto, esse fato
00:03:47sozinho pode pender a balança a favor do Rust, apenas do ponto de vista da segurança.
00:03:52E se olharmos para sistemas operacionais, de longe o sistema operacional mais vulnerável é
00:03:58o kernel do Linux.
00:03:59O que não é surpreendente, pois, como sabemos, o kernel do Linux é onipresente.
00:04:04Ele alimenta servidores, Android, dispositivos IoT, entre outras coisas.
00:04:09E ele tem sido fortemente examinado por pesquisadores.
00:04:12Assim, muitos bugs foram encontrados e divulgados.
00:04:15Além disso, qualquer projeto de código aberto tende a atrair mais atenção de potenciais invasores.
00:04:20Ao chegarmos em 2026, a questão é: o que podemos fazer para nos preparar melhor e proteger
00:04:25nossos sistemas contra as próximas ameaças?
00:04:28Bem, a realidade é que não estamos mais lutando apenas contra hackers humanos.
00:04:32Estamos entrando em uma era de guerra de máquina contra máquina.
00:04:36Aqui estão três pilares de segurança nos quais você deve focar este ano.
00:04:40Um: priorize a segurança de memória.
00:04:43Para novos desenvolvimentos, priorize linguagens seguras como Rust, Go, Swift ou outras.
00:04:49Fazer a transição do C e C++ é a forma mais eficaz de reduzir a densidade de vulnerabilidades.
00:04:55Dois: implemente monitoramento orientado por IA.
00:04:58Como os invasores agora usam IA para lançar exploits em 24 horas, a supervisão manual
00:05:05não é mais suficiente.
00:05:06Você deve implantar sistemas de detecção automatizados que usem análise comportamental para
00:05:12identificar anomalias em tempo real.
00:05:13Uma ótima ferramenta para esse tipo de detecção é o Better Stack.
00:05:17O Better Stack agora tem rastreamento de erros nativo com IA, e inclui até um SRE de IA
00:05:24que pode alertar você a qualquer hora do dia quando algo der errado em seu sistema.
00:05:28E terceiro: minimize a superfície da cadeia de suprimentos.
00:05:32Esta lição se aplica a todo desenvolvimento moderno.
00:05:35Reduza as dependências.
00:05:37A maioria das vulnerabilidades vem de plugins e bibliotecas de terceiros.
00:05:41Isso ficou evidente com o exploit cruel "React to Shell" no ano passado, sobre o qual
00:05:46o James fez uma excelente análise profunda, que você pode assistir bem aqui.
00:05:49E, finalmente, a quarta coisa que você deve fazer é se inscrever no canal para não
00:05:54perder nenhuma atualização sobre novas vulnerabilidades críticas.
00:05:58Nós nos esforçamos aqui no canal da Better Stack para manter você atualizado sobre as novidades,
00:06:03o que inclui abordar vulnerabilidades recém-descobertas.
00:06:06Espero que este vídeo tenha sido útil e, se foi, não esqueça de nos avisar
00:06:10clicando no botão de curtir logo abaixo do vídeo.
00:06:13Aqui é o Andres da Better Stack, e vejo você nos próximos vídeos.