Technical BriefResiliência na era pós-NVD: por que o EcoTrust VulScan não depende de uma única fonte
Como a arquitetura multi-fonte do EcoTrust VulScan opera independentemente das mudanças da NVD
Technical brief sobre a arquitetura multi-fonte do EcoTrust VulScan e a resiliência às mudanças do NIST NVD em abril de 2026.
O contexto que mudou para todo o mercado.
Em 15 de abril de 2026, o NIST anunciou que o National Vulnerability Database (NVD) não enriquecerá mais a maioria das CVEs publicadas.
Apenas vulnerabilidades no catálogo CISA KEV, em software do governo federal americano ou em software crítico definido pela Executive Order 14028 receberão análise detalhada. Todas as demais serão registradas como "Not Scheduled", sem scores CVSS do NIST, sem classificação CWE e sem mapeamento de produtos afetados (CPE).
Esse não é um problema temporário. As submissões de CVEs cresceram 263% entre 2020 e 2025. Nos três primeiros meses de 2026, o volume já é 33% maior que o mesmo período do ano anterior. A previsão do FIRST aponta para 59.000 a 118.000 novas CVEs em 2026, impulsionadas por IA aplicada à descoberta de vulnerabilidades e à geração de código. O custo de encontrar uma vulnerabilidade está se aproximando de zero, mas o custo de enriquecê-la na NVD permanece o mesmo. Esse descompasso econômico é irreversível.
"A NVD era o canário na mina de carvão, e ele parou de cantar." Chris Hughes, Resilient Cyber, abril 2026
Para ferramentas de segurança que dependem exclusivamente da NVD como fonte de enriquecimento, isso significa cobertura parcial, scores ausentes e falsos negativos crescentes. Para o EcoTrust VulScan, significa um ambiente que a arquitetura já estava preparada para operar.
Arquitetura multi-fonte: três trilhas paralelas por ativo.
O EcoTrust VulScan executa três trilhas de enriquecimento em paralelo para cada ativo. Essa arquitetura não é um plano de contingência: é o design da solução desde sua concepção.
Identifica CVEs que afetam o software instalado no ativo. Opera com banco de dados CPE local otimizado e API CVE-Search dedicada, cruzando vendor, produto e versão exata. Busca em camadas: CPE exato (2.3 com fallback para 2.2) seguido de vendor/produto quando a busca exata falha. Filtragem em múltiplos passos reduz falsos positivos antes de emitir o achado.
Consulta diretamente o Microsoft Update Catalog e a API MSRC para determinar quais patches de segurança estão ausentes. Resolve automaticamente cadeias de supersedência: se um patch mais recente já está instalado, os anteriores não são reportados como ausentes.
Enriquece cada CVE com sinais de exploração ativa e consulta fontes especializadas por tipo de componente, independentemente do que aconteça com a NVD.
Detecção de lacunas com fallback inteligente
O EcoTrust VulScan inclui um detector de lacunas que identifica automaticamente componentes do inventário que não foram correlacionados pelas trilhas primárias. Quando lacunas são detectadas, um sistema de dois agentes com busca web é acionado: o primeiro busca vulnerabilidades específicas para o produto não mapeado; o segundo valida cada achado contra o inventário real, confirmando que o produto está instalado, que o CVE ID existe, que se aplica ao produto correto e que a versão instalada é vulnerável. Apenas achados que passam por essa dupla validação são incorporados ao resultado.
Exposição real às mudanças da NVD.
| Componente | Por quê |
|---|---|
| EPSS | Feed direto do FIRST, atualizado diariamente |
| CISA KEV | Feed direto da CISA (~1.500 entradas) |
| Indicador de ransomware | Fonte independente via inteligência de exploits |
| CVSS e CWE por CVE | Obtidos via inteligência de exploits, não depende do score do NIST |
| Advisories pip/npm/JAR | OSV.dev opera por ecossistema, sem dependência de CPE |
| Status de fim de vida (EOL) | endoflife.date, 95+ produtos monitorados |
| Patches Windows ausentes | Microsoft Update Catalog + MSRC API diretos |
| Firmware, CPU, GPU, DLLs | Inteligência de exploits com mapeamentos por vendor |
| Fallback inteligente | Busca web independente de qualquer base estruturada |
O que é parcialmente afetado
| Componente | Exposição | Mitigação existente |
|---|---|---|
| Banco CPE local | Alimentado a partir de dados que incluem a NVD. Novos produtos em CVEs "Not Scheduled" podem não ter CPE. | Trilha 1 Tier 2 (busca por vendor/produto) opera sem CPE formal. Trilha 3 detecta independentemente. |
| API CVE-Search dedicada | CVEs sem CPE na NVD podem não ser encontrados pela busca Tier 1. | Busca Tier 2 compensa parcialmente quando o registro CVE contém dados de vendor/produto do CNA. |
Scanner Infra: convergência planejada com o EcoTrust VulScan.
O EcoTrust Scanner Infra opera com mais de 170.000 testes de vulnerabilidade (VTs) em scans autenticados e não autenticados para Windows, Linux, UNIX, macOS, Cisco, VMware e bancos de dados. Suas fontes externas atuais incluem NVD e MITRE.
Diferentemente do EcoTrust VulScan, o EcoTrust Scanner Infra não conta hoje com enriquecimento multi-fonte nem com inteligência de exploração integrada. CVEs que a NVD não enriquecer podem resultar em achados sem score de severidade ou com informações incompletas.
Integração planejada (roadmap curto prazo, até 31/07/2026): o Scanner Infra passará a utilizar o EcoTrust VulScan como camada de enriquecimento. Os achados do scan de infraestrutura receberão EPSS, CISA KEV, indicador de ransomware e contagem de exploits, transformando o Scanner Infra de um scanner dependente de fontes tradicionais em uma solução com a mesma resiliência multi-fonte do EcoTrust VulScan.
Cenários práticos: o que muda na detecção.
CVE publicada para software comercial não enquadrado no CISA KEV nem na EO 14028. A NVD registra como "Not Scheduled", sem CVSS, CPE, CWE.
Scanner Infra detecta CVE em servidor Linux via scan autenticado. A NVD não enriqueceu, sem CVSS do NIST nem indicação de exploração.
Modelos como Claude Mythos encontram milhares de vulnerabilidades. O volume de CVEs em 2026 pode ultrapassar 70.000. A NVD, com 21 analistas, não consegue processar esse volume.
Roadmap: reduzindo ainda mais a dependência.
Especificações da arquitetura multi-fonte.
Compliance na era pós-NVD.
As mudanças da NVD levantam questões para frameworks regulatórios que referenciam a NVD como fonte de identificação e pontuação. O EcoTrust VulScan mantém conformidade porque opera com fontes independentes que atendem aos requisitos de cada framework.
| Framework | Requisito | Como o EcoTrust VulScan atende |
|---|---|---|
| ISO 27001:2022 · A.8.8 | Priorização baseada em risco documentada | Score com EPSS + KEV por CVE, independente do CVSS da NVD |
| NIST CSF 2.0 · ID.RA-5 | Probabilidade e impacto documentados | EPSS como probabilidade calibrada + KEV como confirmação de exploração |
| PCI DSS 4.0 · Req. 6.3 | SLAs baseados em avaliação de risco | Score de exploração por CVE com indicador KEV e EPSS |
| BACEN 4.557/4.893 | Avaliação contínua em sistemas críticos | Enriquecimento contínuo com múltiplas fontes independentes |
| CRA (EU) | Notificação de CVEs exploradas até set/2026 | Monitoramento de exploração ativa via KEV e inteligência de exploits |
Veja o EcoTrust VulScan em ação no seu ambiente.
Demonstração ao vivo com inteligência de exploração real, sem configuração manual.