Segundo o boletim Threat Source, publicado pela Cisco Talos e disponível em tradução automática no feed da fonte, o número de CVEs passou de 70 mil ainda em setembro, e a numeração chegou à faixa de seis dígitos. O texto lembra que identificadores como CVE-2014-125110 e CVE-2015-1000013 foram atribuídos artificialmente e não representam um volume real de vulnerabilidades. Em base bruta, ano a ano, os CVEs aumentaram 105% e os KEVs (vulnerabilidades conhecidas como exploradas) aumentaram 37%. Após um aumento de 30% de 2024 para 2025, o autor considera o salto de KEVs menos dramático.
Outros pontos citados: cerca de um terço dos KEVs ainda se refere a CVEs de 2025 ou anteriores, o que indica atraso na aplicação de correções. Entre os CVEs de 2026, 29% tiveram data de inclusão no KEV igual à data de publicação, 2 pontos acima de todo o ano de 2025. A parcela de CVEs ligados a equipamentos de rede subiu para 27%. A fonte menciona uma nova coluna forensicTriage no KEV, para sinalizar vulnerabilidades que exigem triagem forense, e remete ao BOD 26-04. O texto também descreve atividade de espionagem atribuída ao UAT-6275; o resumo não detalha alvos ou técnicas.
A conclusão do autor é que descoberta não é exploração: o volume de CVEs é real, mas a dívida de correções é o problema prático. Para verificar, consulte o texto original no site da Cisco Talos, confira o BOD 26-04 e as diretrizes de implementação citadas, e compare os números com o catálogo KEV oficial.