Resumo

  • Woodman projetou mais de 500 CVEs em 2026 para o ecossistema Erlang, Elixir e Gleam, ante cerca de 10 no ano anterior; a página da RIPE 93 registra aumento superior a 50 vezes.
  • A descoberta acelerou; corrigir, testar e publicar continua dependendo dos mantenedores. A EEF experimenta agrupar achados por projeto e pede que empresas usuárias ajudem a financiar o CNA.

Uma falha encontrada por uma ferramenta ainda precisa de alguém que abra o pacote, confirme o problema, faça a mudança, teste e publique uma versão corrigida. Na sessão de Segurança da RIPE 93, Alistair Woodman falou sobre esse trabalho que começa depois do alerta — e que não cresce na mesma velocidade que a busca por falhas.

Ele comparou cerca de 10 CVEs no ano passado com uma projeção de mais de 500 até o fim de 2026. A página da sessão fala em aumento superior a 50 vezes. Woodman atribuiu o salto a problemas antigos que agora conseguem ser encontrados com ferramentas de IA. A contagem é de registros CVE, não de pacotes corrigidos nem de falhas novas introduzidas em 2026.

A equipe principal do CNA tem cinco pessoas, segundo Woodman. Ele disse que quatro integrantes vieram da comunidade e estimou em cerca de 15 o número de pessoas da Ericsson que mantêm o núcleo da máquina virtual. Duas pessoas fazem a maior parte do trabalho de CVE e da pesquisa com IA. O CNA coordena a divulgação; quem mantém cada pacote ainda precisa decidir quando interromper outro trabalho e corrigir o código.

A resposta que a EEF está testando é agrupar vários achados de um mesmo projeto numa janela reservada. Em vez de interromper um mantenedor a cada caso, a equipe pode organizar uma rodada concentrada. Woodman chamou isso de experimento; não apresentou uma medição que prove que a prática reduziu o tempo até o lançamento de um patch.

A política pública da EEF define dois dias úteis para confirmar e avaliar um reporte. Para vulnerabilidades já divulgadas publicamente, prevê publicar os dados em até 24 horas. O compromisso formal encontra a realidade da equipe: os coordenadores recebem os casos, mas a correção depende de mantenedores distribuídos por projetos.

Woodman estimou cerca de 20 mil pacotes, aproximadamente 100 mil usuários frequentes e ao menos 5 mil empresas conhecidas. Ao encerrar, pediu que empresas que usam a tecnologia, mas não aparecem entre os patrocinadores, ajudem a pagar. A EEF lista patrocínio e coordenação voluntária como formas de apoio.

Fontes