Secondo una nuova ricerca di Barracuda Networks, azienda specializzata nella cyber resilience che offre una piattaforma progettata per semplificare la sicurezza delle organizzazioni di ogni dimensione, un’applicazione web presenta in media 20 vulnerabilità di sicurezza che potrebbero essere sfruttate per rubare dati, compromettere account o ottenere accesso non autorizzato ai sistemi. I risultati sono presentati nel dettaglio in un nuovo report, che evidenzia come le falle più comuni nascano da configurazioni errate e disattenzioni che potrebbero essere evitate.
I ricercatori di Barracuda hanno analizzato centinaia di scansioni eseguite tramite Barracuda Application Security Insight in un periodo di cinque mesi nel corso del 2026. Dall’analisi sono emerse sette tipologie principali di vulnerabilità, che nel loro insieme rappresentano circa il 90% di tutte le criticità individuate.
Tra queste figurano:
Divulgazione delle informazioni. Rappresenta il 25% delle falle di sicurezza rilevate e si verifica quando l’applicazione rivela troppe informazioni sui propri sistemi, domini, pagine nascoste, percorsi o servizi. Gli hacker possono sfruttare questi dati per mappare l’ambiente del bersaglio, identificare i punti deboli, scoprire endpoint e aree admin nascoste e pianificare attacchi più mirati senza essere individuati.
Furto d’identità del brand e spoofing. Ammontano al 23% delle vulnerabilità rilevate. Si tratta di punti deboli che consentono ai cyber aggressori di spacciarsi più facilmente per un brand, un sito web o un dominio affidabile e di indurre gli utenti a condividere credenziali o informazioni sensibili. Gli autori degli attacchi possono poi usare le identità compromesse per clonare pagine web, reindirizzare gli utenti verso siti dannosi, rubare credenziali di accesso o inviare e-mail di phishing credibili sfruttando il nome del marchio.
Attacchi lato client (sfruttamento del browser). Con il 14% delle falle individuate, queste vulnerabilità riguardano il modo in cui le pagine web visualizzano o eseguono i contenuti, consentendo agli aggressori di eseguire script dannosi nel browser dell’utente. Gli hacker possono sfruttarle per iniettare codice dannoso (Cross-Site Scripting, XSS), ad esempio per rubare i cookie di sessione, alterare i contenuti visibili della pagina, spingere gli utenti a cliccare su pulsanti nascosti o caricare file ingannevoli.
Esposizione dei dati. Ovvero il 10% delle vulnerabilità di sicurezza rilevate. Si verifica quando informazioni sensibili vengono esposte inutilmente tramite l’applicazione, ad esempio attraverso pagine web, API, log, cookie, script di tracciamento o risposte configurate in modo errato. Gli aggressori possono sfruttarle per raccogliere dati personali, token, contenuti privati, segreti o informazioni aziendali riservate (incluse e-mail e impostazioni di configurazione), per tracciare gli utenti senza il loro consenso e manomettere i controlli di accesso e le policy di conservazione dei dati.
Completano l’elenco la crittografia debole o assente, che consente agli aggressori di intercettare o manipolare il traffico (pari al 6% delle vulnerabilità), software obsoleti o configurazioni non sicure (anch’essi al 6%) e vulnerabilità nella gestione delle sessioni utente e nella protezione dei cookie e delle credenziali (5%).
“Le applicazioni web rappresentano un’interfaccia fondamentale per le organizzazioni: dai siti web di vendita online alle interfacce interattive per clienti, partner e operation. Garantirne la sicurezza è essenziale”, afferma Jesus Cordero-Guzman, Director, Solution Architects AppSec, NetSec & XDR International di Barracuda. “Una media di 20 vulnerabilità per applicazione significa che gli hacker hanno molteplici opportunità per sondare, testare e sfruttare i punti deboli. Sebbene non tutti i problemi siano di per sé critici, gli aggressori spesso concatenano diverse vulnerabilità a basso e medio rischio per esporre informazioni sensibili, rubare credenziali o ottenere accessi non autorizzati. Le organizzazioni necessitano di un approccio proattivo e multilivello alla sicurezza delle applicazioni, capace di identificare e affrontare continuamente i rischi prima che possano essere sfruttati”.
Per ridurre i rischi legati alle applicazioni web, si consiglia alle organizzazioni di:
- Eseguire regolarmente scansioni per cercare vulnerabilità e configurazioni di sicurezza errate.
- Applicare tempestivamente patch e aggiornamenti ad applicazioni, framework e dipendenze.
- Ridurre al minimo la divulgazione di informazioni e l’esposizione di dati sensibili.
- Rafforzare i controlli di sicurezza relativi a crittografia, autenticazione e sicurezza delle sessioni.
- Monitorare costantemente le applicazioni web per individuare attività sospette e minacce emergenti.
