Quando uma CVE é publicada, a vulnerabilidade já existe há algum tempo. O intervalo entre a descoberta e o registro público, o disclosure gap, é um período em que scanners não apontam nada, SLAs não são ativados e o ambiente parece limpo. Neste artigo, o Heitor Gouvêa documenta quatro casos reais de responsible disclosure e o que esse gap significa na prática para quem gerencia risco.