OWASP Top 10: Le 10 Vulnerabilità Web Più Critiche Spiegate (2026)

L'OWASP Top 10 è il documento di riferimento più influente nel campo della sicurezza delle applicazioni web. Pubblicato dall'Open Web Application Security Project, viene aggiornato periodicamente sulla base dei dati reali raccolti da centinaia di organizzazioni di sicurezza in tutto il mondo.

Capire l'OWASP Top 10 è fondamentale per chiunque sviluppi, gestisca o testi applicazioni web. Vediamo le 10 categorie dell'edizione 2021, ancora attuale.

---

A01 — Broken Access Control (Controllo degli accessi difettoso)

La vulnerabilità più critica nell'edizione 2021. Si verifica quando un'applicazione non applica correttamente le restrizioni su ciò che gli utenti autenticati possono fare.

Esempi:

• Cambiare l'ID utente in un URL per accedere all'account altrui: /account?id=123 → /account?id=456
• Accedere a funzioni amministrative come utente normale
• Visualizzare o modificare il profilo di un altro utente

Prevenzione: Nega l'accesso per default, applica il controllo lato server (mai lato client), logga i tentativi di accesso falliti.

---

A02 — Cryptographic Failures (Fallimenti crittografici)

Dati sensibili (password, carte di credito, dati sanitari) esposti per trasmissione non cifrata o per uso di algoritmi crittografici obsoleti o errati.

Esempi:

• Trasmissione di dati su HTTP invece di HTTPS
• Password salvate in testo chiaro nel database
• Uso di MD5 o SHA-1 per l'hashing delle password (obsoleti)
• Chiavi crittografiche hardcoded nel codice

Prevenzione: Usa HTTPS ovunque, bcrypt/Argon2 per le password, TLS 1.2+ per le comunicazioni, non stocare dati sensibili se non necessari.

---

A03 — Injection (Injection)

Codice malevolo iniettato nell'applicazione attraverso input non sanitizzati, interpretato dall'interprete (database, shell, LDAP) come comandi legittimi.

Sottocategorie:

• SQL Injection — la più nota
• Command Injection — comandi OS eseguiti tramite input utente
• LDAP Injection — query LDAP manipolate
• XPath Injection — query XML manipolate

Prevenzione: Query parametrizzate, ORM, validazione input, principio del minimo privilegio.

---

A04 — Insecure Design (Design insicuro)

Categoria introdotta nel 2021: vulnerabilità derivanti da scelte architetturali e di design errate fin dall'inizio, non da errori di implementazione.

Esempi:

• Nessun rate limiting sul form di login (brute force)
• Password reset tramite domande di sicurezza facilmente indovinabili
• Nessuna separazione tra tenant in un'applicazione multi-tenant

Prevenzione: Threat modeling durante la progettazione, security design patterns, requisiti di sicurezza definiti prima di scrivere il codice.

---

A05 — Security Misconfiguration (Configurazione di sicurezza errata)

La configurazione predefinita di molti framework, server e piattaforme cloud non è sicura. Errori di configurazione creano vulnerabilità facilmente sfruttabili.

Esempi:

• Credenziali predefinite non cambiate (admin/admin)
• Messaggi di errore dettagliati che rivelano stack traces
• Directory listing abilitata sul web server
• Permessi S3 bucket troppo aperti
• Features non necessarie abilitate (debug mode in produzione)

Prevenzione: Hardening dei sistemi, review periodiche della configurazione, disabilita tutto ciò che non è necessario.

---

A06 — Vulnerable and Outdated Components (Componenti vulnerabili e obsoleti)

L'uso di librerie, framework o componenti software con vulnerabilità note non patchate. La dipendenza da software di terze parti introduce rischi che spesso sfuggono al controllo.

Esempi:

• Log4Shell (CVE-2021-44228): libreria Log4j non aggiornata
• Struts2 RCE (CVE-2017-5638): vulnerabilità usata nel breach Equifax (143M record)
• jQuery con XSS note non aggiornato

Prevenzione: Software Composition Analysis (SCA), aggiornamenti regolari delle dipendenze, monitoraggio dei feed CVE, strumenti come Snyk, Dependabot, OWASP Dependency-Check.

---

A07 — Identification and Authentication Failures (Fallimenti di identificazione e autenticazione)

Problemi nella gestione dell'autenticazione e delle sessioni che permettono agli attaccanti di impersonare altri utenti.

Esempi:

• Password banali permesse (password: "123456")
• Nessun limite ai tentativi di login (brute force)
• Session token non invalidato dopo il logout
• Cookie di sessione trasmessi su HTTP
• Password reset con token prevedibili

Prevenzione: MFA (autenticazione a più fattori), password policy robuste, blocco dopo N tentativi falliti, session management corretto, token crittograficamente forti.

---

A08 — Software and Data Integrity Failures (Fallimenti di integrità del software e dei dati)

Vulnerabilità legate alla mancata verifica dell'integrità di aggiornamenti software, dati critici e pipeline CI/CD.

Esempi:

• Supply chain attack: aggiornamento automatico di software firmato da un attore malevolo (SolarWinds, XZ Utils)
• Insecure deserialization: oggetti serializzati non affidabili deserializzati senza verifica
• CI/CD compromise: pipeline di build compromessa inietta malware nei rilasci

Prevenzione: Firma digitale dei pacchetti, verifica dell'integrità degli aggiornamenti, pipeline CI/CD sicure, Software Bill of Materials (SBOM).

---

A09 — Security Logging and Monitoring Failures (Fallimenti nel logging e nel monitoraggio)

L'assenza di logging adeguato e di monitoraggio permette agli attaccanti di operare inosservati per mesi. La maggior parte dei breach viene scoperta da terze parti, non dall'organizzazione stessa.

Cosa loggare:

• Tutti i tentativi di login (successi e fallimenti)
• Accessi a dati sensibili
• Modifiche ai permessi
• Errori dell'applicazione

Prevenzione: Centralizzazione dei log (SIEM), alert su anomalie, retention dei log adeguata, test periodici dell'efficacia del monitoring.

---

A10 — Server-Side Request Forgery (SSRF)

Una vulnerabilità che permette a un attaccante di far effettuare richieste HTTP al server verso destinazioni arbitrarie — spesso risorse interne non raggiungibili dall'esterno.

Esempi:

• Accesso ai metadati del cloud provider: http://169.254.169.254/ (AWS, GCP, Azure)
• Port scanning della rete interna
• Accesso a servizi interni (Redis, Elasticsearch, amministrazione)

Prevenzione: Whitelist di URL permessi, disabilita i redirect non necessari, validazione degli URL prima di effettuare richieste.

---

Come usare l'OWASP Top 10

Per gli sviluppatori

• Usa la Top 10 come checklist durante code review
• Applica i Security Headers consigliati (CSP, HSTS, X-Frame-Options)
• Impara a usare OWASP ZAP per testare le tue applicazioni
• Esplora OWASP WebGoat e OWASP Juice Shop per imparare hands-on

Per i team di sicurezza

• Includi la verifica dell'OWASP Top 10 in ogni penetration test
• Usa la Top 10 come base per i Security Requirements
• Misura la postura di sicurezza con report periodici per categoria

Per le aziende

• La conformità all'OWASP Top 10 è richiesta da PCI-DSS per le applicazioni che gestiscono pagamenti
• ISO 27001 e SOC 2 premiano le organizzazioni che gestiscono proattivamente le vulnerabilità applicative

Conclusione

L'OWASP Top 10 è il punto di partenza per chiunque si occupi di sicurezza applicativa. Non è un documento accademico: è una mappa pratica delle vulnerabilità che vengono effettivamente sfruttate ogni giorno da attaccanti reali. Vuoi imparare a trovare e correggere queste vulnerabilità? Esplora i corsi gratuiti di Pentevo Academy.