MITRE ha revelado su lista de las 25 debilidades de software más peligrosas de 2025 según la Enumeración Común de Debilidades (CWE™), destacando las causas raíz detrás de 39.080 registros de Vulnerabilidades y Exposiciones Comunes (CVE™) este año.
Estas fallas prevalentes, que a menudo son simples de detectar y explotar, permiten a los atacantes tomar el control del sistema, robar datos confidenciales o inutilizar aplicaciones.
Desarrolladores, equipos de seguridad y ejecutivos ahora tienen una hoja de ruta para priorizar las correcciones y remodelar los ciclos de vida del desarrollo de software (SDLC).
La clasificación anual, basada en datos reales de CVE, se ha vuelto cada vez más relevante en medio de la escalada de las amenazas cibernéticas.
Las fallas de inyección y la corrupción de memoria siguen siendo dominantes, pero los cambios revelan riesgos en evolución. El scripting entre sitios (CWE-79) se mantiene en el primer lugar a pesar de haber descendido desde el liderazgo del año pasado, con siete Vulnerabilidades Conocidas Explotadas (KEV).
La inyección de comandos del sistema operativo (CWE-78) sigue siendo una amenaza de alto impacto, con 20 KEV.
Esta lista impulsa la acción en todos los sectores:
- Reducción de vulnerabilidades: Señala las causas raíz como los errores de seguridad de la memoria, guiando las mejoras del SDLC.
- Ahorro de costos: Menos fallas significan menos parches posteriores a la publicación.
- Análisis de tendencias: Rastrea el aumento de las omisiones de autorización en medio de las expansiones en la nube.
- Priorización de la explotabilidad: Los recuentos de KEV señalan peligros inmediatos.
- Confianza del cliente: Los compromisos públicos con las correcciones generan confianza.
Resumen de las 25 principales CWE de 2025
| Rank | CWE ID & Name | CVEs in KEV | Rank Last Year |
|---|---|---|---|
| 1 | CWE-79: Cross-site Scripting | 7 | 1 |
| 2 | CWE-89: SQL Injection | 4 | 3 (↑1) |
| 3 | CWE-352: CSRF | 0 | 4 (↑1) |
| 4 | CWE-862: Missing Authorization | 0 | 9 (↑5) |
| 5 | CWE-787: Out-of-bounds Write | 12 | 2 (↓3) |
| 6 | CWE-22: Path Traversal | 10 | 5 (↓1) |
| 7 | CWE-416: Use After Free | 14 | 8 (↑1) |
| 8 | CWE-125: Out-of-bounds Read | 3 | 6 (↓2) |
| 9 | CWE-78: OS Command Injection | 20 | 7 (↓2) |
| 10 | CWE-94: Code Injection | 7 | 11 (↑1) |
| 11 | CWE-120: Classic Buffer Overflow | 0 | N/A |
| 12 | CWE-434: Unrestricted File Upload | 4 | 10 (↓2) |
| 13 | CWE-476: NULL Pointer Dereference | 0 | 21 (↑8) |
| 14 | CWE-121: Stack-based Buffer Overflow | 4 | N/A |
| 15 | CWE-502: Deserialization of Untrusted Data | 11 | 16 (↑1) |
| 16 | CWE-122: Heap-based Buffer Overflow | 6 | N/A |
| 17 | CWE-863: Incorrect Authorization | 4 | 18 (↑1) |
| 18 | CWE-20: Improper Input Validation | 2 | 12 (↓6) |
| 19 | CWE-284: Improper Access Control | 1 | N/A |
| 20 | CWE-200: Exposure of Sensitive Information | 1 | 17 (↓3) |
| 21 | CWE-306: Missing Authentication | 11 | 25 (↑4) |
| 22 | CWE-918: SSRF | 0 | 19 (↓3) |
| 23 | CWE-77: Command Injection | 2 | 13 (↓10) |
| 24 | CWE-639: Authorization Bypass | 0 | 30 (↑6) |
| 25 | CWE-770: Resource Allocation Without Limits | 0 | 26 (↑1) |
Los problemas de seguridad de la memoria (por ejemplo, desbordamientos de búfer) ocurren con frecuencia, lo que impulsa la adopción de Rust o C++ más seguros. Las aplicaciones web se enfrentan a problemas de inyección y autenticación, mientras que las fallas con un alto número de KEV, como el uso después de liberar, exigen un escrutinio de confianza cero.
Las organizaciones deben auditar las bases de código en comparación con esta lista, integrar las comprobaciones de CWE en sus pipelines de CI/CD y presionar a los proveedores para que sean transparentes.
Fuentes:
https://cybersecuritynews.com/mitre-releases-top-25-most-dangerous-software/
Fuentes:
https://cybersecuritynews.com/mitre-releases-top-25-most-dangerous-software/
No hay comentarios:
Publicar un comentario