Estas fallas prevalentes, que a menudo son simples de detectar y explotar, permiten a los atacantes tomar el control del sistema, robar datos confidenciales o inutilizar aplicaciones. Desarrolladores, equipos de seguridad y ejecutivos ahora tienen una hoja de ruta para priorizar las correcciones y remodelar los ciclos de vida del desarrollo de software (SDLC).

 La clasificación anual, basada en datos reales de CVE, se ha vuelto cada vez más relevante en medio de la escalada de las amenazas cibernéticas. Las fallas de inyección y la corrupción de memoria siguen siendo dominantes, pero los cambios revelan riesgos en evolución. El scripting entre sitios (CWE-79) se mantiene en el primer lugar a pesar de haber descendido desde el liderazgo del año pasado, con siete Vulnerabilidades Conocidas Explotadas (KEV). La inyección de comandos del sistema operativo (CWE-78) sigue siendo una amenaza de alto impacto, con 20 KEV. Esta lista impulsa la acción en todos los sectores:

• Reducción de vulnerabilidades: Señala las causas raíz como los errores de seguridad de la memoria, guiando las mejoras del SDLC.
• Ahorro de costos: Menos fallas significan menos parches posteriores a la publicación.
• Análisis de tendencias: Rastrea el aumento de las omisiones de autorización en medio de las expansiones en la nube.
• Priorización de la explotabilidad: Los recuentos de KEV señalan peligros inmediatos.
• Confianza del cliente: Los compromisos públicos con las correcciones generan confianza.

Nuevos participantes como el desbordamiento de búfer clásico (CWE-120) y el control de acceso incorrecto (CWE-284) señalan brechas de memoria y autenticación en las bases de código heredadas.

Resumen de las 25 principales CWE de 2025

Rank	CWE ID & Name	CVEs in KEV	Rank Last Year
1	CWE-79: Cross-site Scripting	7	1
2	CWE-89: SQL Injection	4	3 (↑1)
3	CWE-352: CSRF	0	4 (↑1)
4	CWE-862: Missing Authorization	0	9 (↑5)
5	CWE-787: Out-of-bounds Write	12	2 (↓3)
6	CWE-22: Path Traversal	10	5 (↓1)
7	CWE-416: Use After Free	14	8 (↑1)
8	CWE-125: Out-of-bounds Read	3	6 (↓2)
9	CWE-78: OS Command Injection	20	7 (↓2)
10	CWE-94: Code Injection	7	11 (↑1)
11	CWE-120: Classic Buffer Overflow	0	N/A
12	CWE-434: Unrestricted File Upload	4	10 (↓2)
13	CWE-476: NULL Pointer Dereference	0	21 (↑8)
14	CWE-121: Stack-based Buffer Overflow	4	N/A
15	CWE-502: Deserialization of Untrusted Data	11	16 (↑1)
16	CWE-122: Heap-based Buffer Overflow	6	N/A
17	CWE-863: Incorrect Authorization	4	18 (↑1)
18	CWE-20: Improper Input Validation	2	12 (↓6)
19	CWE-284: Improper Access Control	1	N/A
20	CWE-200: Exposure of Sensitive Information	1	17 (↓3)
21	CWE-306: Missing Authentication	11	25 (↑4)
22	CWE-918: SSRF	0	19 (↓3)
23	CWE-77: Command Injection	2	13 (↓10)
24	CWE-639: Authorization Bypass	0	30 (↑6)
25	CWE-770: Resource Allocation Without Limits	0	26 (↑1)

Los problemas de seguridad de la memoria (por ejemplo, desbordamientos de búfer) ocurren con frecuencia, lo que impulsa la adopción de Rust o C++ más seguros. Las aplicaciones web se enfrentan a problemas de inyección y autenticación, mientras que las fallas con un alto número de KEV, como el uso después de liberar, exigen un escrutinio de confianza cero. 

 Las organizaciones deben auditar las bases de código en comparación con esta lista, integrar las comprobaciones de CWE en sus pipelines de CI/CD y presionar a los proveedores para que sean transparentes.

Fuentes:
https://cybersecuritynews.com/mitre-releases-top-25-most-dangerous-software/