O que acontece quando os agressores se movem mais rápido do que a saúde pode aplicar patches?

O setor de saúde há muito enfrenta um obstáculo real para aplicar correções de segurança: a equipe de segurança de um hospital pode identificar uma vulnerabilidade em um sistema clínico em uma tarde, mas a instalação segura de uma correção costuma ser dificultada pelas realidades práticas do ritmo frenético diário de um hospital. O fabricante do dispositivo pode precisar validar uma atualização, o hospital pode precisar testá‑la e agendar tempo de inatividade, e algumas alterações podem até exigir uma revisão regulatória.

Os invasores não enfrentam nenhuma dessas restrições. Com ferramentas de IA acelerando o reconhecimento e a pesquisa de vulnerabilidades, bem como o desenvolvimento de exploits, os processos de remediação já sobrecarregados da saúde estão sob ainda mais pressão.

O que torna essa questão particularmente dolorosa é que os atrasos nas correções costumam ser prolongados pelas dependências dos fornecedores. Embora uma correção para um sistema de ressonância magnética, por exemplo, precise ser validada pelo fornecedor, frequentemente ainda deve ser aprovada pelo controle de mudanças do hospital. E tudo isso precisa ser feito sem interromper o atendimento.

O relatório da Health-ISAC IA de Fronteira no Setor de Saúde nomeia o atraso nas correções como uma das exposições definidoras do setor. Isso deixa os hospitais com uma única alternativa viável: eles podem não ser capazes de controlar todas as etapas da linha do tempo de patches, mas podem limitar o que um invasor pode fazer enquanto uma atualização está sendo implantada.

A Linha do Tempo de Patches tem um Piso por um Motivo

Muitos dos passos na linha do tempo de patches de um hospital podem irritar os profissionais de segurança da informação, mas eles existem para garantir a segurança dos pacientes. Nenhuma atualização não testada em um ventilador ou em uma bomba de infusão que vise fechar uma vulnerabilidade de cibersegurança vale o custo de prejudicar o atendimento ao paciente. Portanto, a solução é acelerar as partes do processo que podem ser agilizadas sem enfraquecer os protocolos existentes.

Auditores e conselhos tendem a tratar janelas longas de remediação como um problema de maturidade do programa ou de orçamento, e às vezes estão corretos. Normalmente, cronogramas extensos de patches são sintoma de execução fraca, falta de recursos ou gargalos fora do controle da equipe de segurança. Mais analistas podem melhorar a detecção, triagem e priorização de vulnerabilidades, mas não podem encurtar os prazos dos fabricantes nem mover as janelas de indisponibilidade.

Com a exploração de vulnerabilidades emergindo como a forma mais comum de invasores obterem acesso a redes-alvo, o Verizon 2026 Relatório de Investigações de Violação de Dados (DBIR) mostra o quão pouco espaço as organizações têm para implantar patches. O tempo mediano para remediar totalmente uma vulnerabilidade conhecida explorada subiu para 43 dias em 2026, a partir de 32 dias no ano anterior, enquanto a proporção de vulnerabilidades totalmente corrigidas caiu para 26% de 38%.

O fato de que esses números não são específicos da saúde demonstra o quão difícil a remediação já é, antes de considerar as restrições clínicas e de fornecedores que os hospitais também precisam gerenciar.

É Hora de Olhar Além das Pontuações de Severidade

Embora as janelas de remediação tenham se alongado, os invasores têm se tornado mais rápidos. O DBIR constatou que a exploração de vulnerabilidades agora é a principal forma de hackers penetrar em sistemas, representando 31% das violações, superando credenciais roubadas pela primeira vez nos 19 anos em que o relatório foi publicado.

A Verizon afirma que a IA ajudou a acelerar a descoberta e a exploração de vulnerabilidades, a ponto de que o que antes levava meses agora pode levar horas ou dias. E isso foi antes da liberação da geração atual de modelos de fronteira, já que o conjunto de dados do DBIR terminou em outubro de 2025.

Mas todos esperam essa velocidade atualmente. O relatório da Health-ISAC sinaliza algo ainda mais consequente: modelos de IA mais recentes podem encadear descobertas de baixa severidade em caminhos de ataque críticos, identificando combinações de fraquezas que podem parecer menos importantes isoladamente. Isso cria outro problema para programas de remediação que priorizam pontuações de severidade, pois descobertas de baixa severidade, frequentemente ignoradas ou enviadas para a fila de pendências, podem de repente ter muito mais importância se afetarem acesso ou sistemas críticos.

Acúmulos crescentes de pendências só pioram o cenário. Escrevendo na Nature, o diretor do Instituto Max Planck, Thorsten Holz descreveu a Mozilla usando um modelo de fronteira para encontrar e corrigir 271 vulnerabilidades em um único lançamento do Firefox, muito além do que suas ferramentas e revisores existentes haviam identificado em um mês típico no ano anterior.

Essa pressão de triagem também está se estendendo ao lado da oferta: Linus Torvalds, mantenedor do kernel Linux, em maio apontou que relatórios de bugs gerados por IA estão sobrecarregando os mantenedores.

Quando Você Não Pode Corrigir Mais Rápido, Reduza o Que é Alcanceável

Afortunadamente, uma fila de pendências que não pode ser eliminada ainda pode ser gerenciada. Se um patch precisar aguardar, a prioridade deve ser reduzir as chances de que qualquer vulnerabilidade seja explorada. Isso desloca o foco da velocidade de remediação para a alcançabilidade, algo que os hospitais podem controlar.

A segmentação pode servir como um forte contrapeso. Um dispositivo de imagem com acesso amplo pode alcançar um controlador de domínio, um compartilhamento de arquivos e a internet aberta. Mas se for limitado a um segmento isolado que permite tráfego apenas para seu servidor PACS e o ponto de atualização do fabricante, negando o acesso ao restante por padrão, qualquer vulnerabilidade que o afete pode permanecer contida pelo tempo que o patch demorar.

Quando os requisitos do dispositivo e do fornecedor permitem, os hospitais podem usar segmentação, controles de saída e regras de negação por padrão para estreitar e até fechar caminhos de acesso enquanto um patch está pendente.

Os hospitais não precisam de um inventário completo de ativos antes de começar a reduzir a superfície exposta. Primeiro, conte os sistemas que respondem à internet, mantenha esse número atualizado à medida que o inventário mais amplo avança, e priorize limitar o que esses sistemas podem alcançar dentro da rede.

Os dados da pesquisa da Health-ISAC indicam que o setor já está começando a avançar nessa direção. Aproximadamente 80% dos membros da Health-ISAC dizem que planejam aumentar seus orçamentos para ferramentas de segurança alimentadas por IA ou avaliação de explorabilidade. Um caminho que pode ser útil é analisar quais caminhos de ataque funcionam em seu próprio ambiente: encontrar combinações de vulnerabilidades de baixa severidade que possam merecer atenção antes que uma pontuação de prioridade chame sua atenção.

As conversas com fornecedores também precisam superar a linguagem do acordo de nível de serviço. Os contratos contêm o que você e seus fornecedores se comprometeram há anos, mas o modelo de ameaça mudou drasticamente. Portanto, primeiro identifique quanto tempo os patches validados para vulnerabilidades podem levar para serem emitidos após a divulgação pública, e então descubra quais medidas de mitigação estão disponíveis enquanto aguarda a atualização. Também vale a pena perguntar se eles testam seu produto contra as técnicas de ataque assistidas por IA atualmente.

Gerencie a Exposição que Você Não Pode Eliminar

A maioria das organizações não consegue dizer quanto tempo leva para ter uma correção validada em produção depois que um exploit foi tornado público. Concentre‑se em determinar esse número para que possa parar de debater janelas de patches e começar a focar em descobrir quais fornecedores e sistemas permanecem expostos por mais tempo. Isso permitirá decidir o que seus esforços de remediação devem priorizar.

Compartilhar informações pode encurtar significativamente esse ciclo de decisão. Algumas das decisões de remediação mais rápidas que já vi aconteceram quando um hospital recebe de um colega a notícia de que uma plataforma de fornecedor está sendo explorada antes que a vulnerabilidade seja divulgada publicamente.

A janela de validação em si não vai se ampliar. Os hospitais continuarão operando sistemas clínicos com vulnerabilidades abertas, o que significa que a estratégia de segmentação desses sistemas deve receber mais importância do que o cronograma de patches. Cada hospital deve ser capaz de especificar, para cada uma de suas plataformas críticas, o que aconteceria na rede se essa plataforma fosse comprometida amanhã.