Nuova ricerca Barracuda: le applicazioni web hanno in media 20 vulnerabilità, per lo più dovute a banali disattenzioni

I ricercatori di Barracuda hanno analizzato centinaia di scansioni eseguite tramite Barracuda Application Security Insight in un periodo di cinque mesi nel corso del 2026. Dall’analisi sono emerse sette tipologie principali di vulnerabilità, che nel loro insieme rappresentano circa il 90% di tutte le criticità individuate.

• Divulgazione delle informazioni. Rappresenta il 25% delle falle di sicurezza rilevate e si verifica quando  l’applicazione rivela troppe informazioni sui propri sistemi, domini, pagine nascoste, percorsi o servizi. Gli hacker possono sfruttare questi dati per mappare l’ambiente del bersaglio, identificare i punti deboli, scoprire endpoint e aree admin nascoste e pianificare attacchi più mirati senza essere individuati.
• Furto d’identità del brand e spoofing. Ammontano al 23% delle vulnerabilità rilevate. Si tratta di punti deboli che consentono ai cyber aggressori di spacciarsi più facilmente per un brand, un sito web o un dominio affidabile e di indurre gli utenti a condividere credenziali o informazioni sensibili. Gli autori degli attacchi possono poi usare le identità compromesse per clonare pagine web, reindirizzare gli utenti verso siti dannosi, rubare credenziali di accesso o inviare e-mail di phishing credibili sfruttando il nome del marchio.
• Attacchi lato client (sfruttamento del browser). Con il 14% delle falle individuate, queste vulnerabilità riguardano il modo in cui le pagine web visualizzano o eseguono i contenuti, consentendo agli aggressori di eseguire script dannosi nel browser dell’utente. Gli hacker possono sfruttarle per iniettare codice dannoso (Cross-Site Scripting, XSS), ad esempio per rubare i cookie di sessione, alterare i contenuti visibili della pagina, spingere gli utenti a cliccare su pulsanti nascosti o caricare file ingannevoli.
• Esposizione dei dati. Ovvero il 10% delle vulnerabilità di sicurezza rilevate. Si verifica quando informazioni sensibili vengono esposte inutilmente tramite l’applicazione, ad esempio attraverso pagine web, API, log, cookie, script di tracciamento o risposte configurate in modo errato. Gli aggressori possono sfruttarle per raccogliere dati personali, token, contenuti privati, segreti o informazioni aziendali riservate (incluse e-mail e impostazioni di configurazione), per tracciare gli utenti senza il loro consenso e manomettere i controlli di accesso e le policy di conservazione dei dati.
• Completano l’elenco la crittografia debole o assente, che consente agli aggressori di intercettare o manipolare il traffico (pari al 6% delle vulnerabilità), software obsoleti o configurazioni non sicure (anch’essi al 6%) e vulnerabilità nella gestione delle sessioni utente e nella protezione dei cookie e delle credenziali (5%).

• Eseguire regolarmente scansioni per cercare vulnerabilità e configurazioni di sicurezza errate.
• Applicare tempestivamente patch e aggiornamenti ad applicazioni, framework e dipendenze.
• Ridurre al minimo la divulgazione di informazioni e l’esposizione di dati sensibili.
• Rafforzare i controlli di sicurezza relativi a crittografia, autenticazione e sicurezza delle sessioni.
• Monitorare costantemente le applicazioni web per individuare attività sospette e minacce emergenti.