¡Descubre GoogleTest, con certificación TÜV y la tecnología Agentic AI para pruebas de C/C++!
Obtenga los detalles »
El cumplimiento de las normas OWASP es fundamental para mantener la seguridad del software en el entorno digital actual. El OWASP Top 10:2025 refleja los datos más recientes sobre amenazas, introduciendo dos nuevas categorías y reordenando significativamente las clasificaciones tras el análisis de más de 175 000 registros CVE y las aportaciones de profesionales de la seguridad de todo el mundo.
La organización sin ánimo de lucro Open Web Application Security Project® ( OWASP) busca mejorar la seguridad del software. Equipos de desarrollo de todo el mundo y de diversos sectores recurren a la Fundación OWASP en busca de herramientas, recursos y formación para proteger sus aplicaciones web de los ciberataques. Los proyectos con iniciativas impulsadas por la comunidad están abiertos a la participación de cualquier persona.
Incorpore la seguridad a su estrategia de DevOps
Periódicamente, OWASP publica una lista de los problemas más urgentes para la comunidad de desarrollo en general. Estos problemas afectan la seguridad general de los proyectos, y la lista ilumina las mayores amenazas.
La lista OWASP Top 10:2025 introduce dos categorías completamente nuevas y consolida una existente, reflejando el panorama actual de amenazas. Basándose en el análisis de más de 175 000 registros CVE, encuestas a profesionales, asesoramiento de proveedores de seguridad, programas de recompensas por detección de errores y aportaciones de la comunidad, OWASP elaboró su lista de 2025, donde el número 1 representa el problema más frecuente y de mayor impacto. Clasificada por gravedad y frecuencia, cada elemento representa múltiples enumeraciones de vulnerabilidades comunes (CWE), 248 en total en las 10 categorías.
El OWASP Top 10 ayuda a los equipos a concentrarse en los problemas más críticos y probables antes de pasar a otros problemas.
Todas estas vulnerabilidades potenciales representan amenazas importantes para cualquier equipo de desarrollo, pero tenga en cuenta que esta no es una lista exhaustiva de todo lo que puede salir mal durante el desarrollo. Si bien Top 10 no es una estrategia integral o el único método para identificar vulnerabilidades, es una excelente manera de comenzar.
El Top 10 resulta más eficaz cuando funciona en ambas fases del desarrollo: enseña a los desarrolladores a escribir código seguro desde el principio y, a continuación, lo utiliza para verificar que lo han hecho.
Con el creciente desarrollo de las API, OWASP cuenta con un proyecto dedicado exclusivamente a la seguridad de las API y su lista de las diez principales vulnerabilidades más preocupantes. La lista OWASP API Security Top 10 se presentó en 2019 y se actualizó en 2023.
El control de acceso deficiente se mantiene como la principal vulnerabilidad por cuarto ciclo de evaluación consecutivo. En sus conclusiones, OWASP informó que el 100 % de las aplicaciones analizadas (frente al 94 % anterior) presentaban este problema, que ahora abarca 40 vulnerabilidades comunes (frente a las 34 de 2021). En 2025, OWASP también incluyó la falsificación de solicitudes del lado del servidor (SSRF) en esta categoría, reconociéndola como una manifestación específica de un control de acceso inadecuado.
Las principales vulnerabilidades CWE relacionadas con esta vulnerabilidad son:
Esta vulnerabilidad de seguridad permite el acceso a recursos privados a usuarios no autorizados. Los atacantes pueden eludir cualquier protocolo de seguridad vigente para acceder a sistemas e información confidenciales.
Sigue siendo la vulnerabilidad más común en el Top 10 de OWASP. Los métodos débiles de autorización y autenticación permiten que exista este riesgo de seguridad. El control de acceso deficiente abarca 40 CWE (frente a los 34 de 2021), incluidos los escenarios SSRF. Representa más problemas en la encuesta de OWASP que cualquier otra categoría.
La configuración incorrecta de seguridad asciende al puesto número 2 en 2025, desde el puesto número 5 en 2021, lo que refleja la explosión de los entornos en la nube y de contenedores, donde los errores de configuración son cada vez más comunes. El 100 % de las aplicaciones analizadas presentan algún tipo de este problema.
La configuración incorrecta de la seguridad se produce cuando faltan ajustes de seguridad importantes, son incorrectos, están mal configurados o se dejan con los valores predeterminados, como por ejemplo, no restablecer las contraseñas predeterminadas, habilitar funciones innecesarias o no reforzar la seguridad del almacenamiento en la nube.
Los sistemas, servicios en la nube y contenedores mal configurados contribuyen a una gran proporción de las brechas de seguridad. Un ejemplo notable es la interrupción del servicio NOTAM de la FAA en 2023, relacionada con una configuración incorrecta. Mantener configuraciones robustas, eliminar funciones innecesarias y auditar la infraestructura periódicamente son medidas de seguridad fundamentales.
Los fallos en la cadena de suministro de software constituyen una nueva categoría en 2025, que aborda los riesgos derivados de componentes de terceros, bibliotecas de código abierto, procesos de compilación y mecanismos de distribución. Su identificación representa un desafío y constituye una superficie de ataque en rápido crecimiento, con cinco vulnerabilidades comunes, entre las que se incluyen:
Estos fallos se producen cuando los componentes del software, los procesos de compilación o los mecanismos de entrega se ven comprometidos o manipulados. Algunos ejemplos son los paquetes procedentes de fuentes no fiables, los scripts de compilación inseguros y la ausencia de firma de código o verificación de integridad.
Los atacantes que comprometen un componente de la cadena de suministro pueden afectar simultáneamente a miles de aplicaciones posteriores. Un ejemplo notable es el ataque a SolarWinds. Los ataques a la cadena de suministro a menudo eluden por completo la detección basada en CVE, ya que se deben a fallos de confianza en los procesos, no a errores en el código.
Orientación para la prevención:
Los fallos criptográficos descienden al puesto número 4 en 2025, desde el puesto número 2 en 2021, lo que refleja una mayor concienciación en el sector, aunque sigue siendo un riesgo crítico. El nombre se actualizó en 2021, pasando de «Exposición de datos sensibles» a «Causas fundamentales», para hacer hincapié en las causas profundas en lugar de los síntomas.
Un fallo criptográfico se produce cuando se exponen datos confidenciales debido a la ausencia, debilidad, mala configuración o implementación incorrecta de la criptografía. Los fallos criptográficos suelen provocar filtraciones de datos. Algunos ejemplos son la ausencia de encabezados HTTP Strict Transport Security, algoritmos débiles, la transmisión de datos en texto plano o una gestión deficiente de las claves.
Pueden provocar filtraciones de datos confidenciales y vulneraciones del sistema. Un ejemplo público de fallo criptográfico es la filtración de LinkedIn en 2012, donde un algoritmo de hash SHA-1 sin sal permitió a los atacantes descifrar fácilmente millones de credenciales tras el robo de la base de datos. Para prevenir este tipo de fallos, se requiere un diseño criptográfico adecuado, código seguro, pruebas exhaustivas e integración de la seguridad en los flujos de trabajo de DevSecOps.
La inyección descenderá al puesto número 5 en 2025, desde el puesto número 3 en 2021, lo que representa un descenso continuo tras su reinado de una década como el riesgo número 1 y refleja el progreso de la industria en la validación de insumos. Sigue siendo altamente peligrosa y generalizada.
Las vulnerabilidades de inyección se producen cuando los atacantes envían datos manipulados que obligan a una aplicación a ejecutar comandos no deseados. Por ejemplo, la inyección SQL puede extraer o modificar bases de datos completas. Esto incluye el cross-site scripting (XSS) y otros tipos de inyección.
La inyección sigue siendo una de las clases de vulnerabilidades más comunes y prevenibles. Los datos de las pruebas de OWASP muestran más de 1.4 millones de casos de inyección observados en diversas aplicaciones. La validación estricta de la entrada, las consultas parametrizadas y el uso de API seguras que separan los datos de los comandos pueden prevenir en gran medida estas vulnerabilidades. Entre las CWE más comunes se encuentran la CWE 79 (Cross-Site Scripting) y la CWE 89 (SQL Injection), y existen riesgos de inyección adicionales en áreas como el manejo de comandos, rutas y expresiones.
El diseño inseguro desciende del puesto número 4 al número 6 en 2025, lo que refleja la adopción gradual de principios de diseño seguro, aunque los fallos a nivel de diseño siguen siendo un riesgo significativo y a menudo subestimado.
Un diseño inseguro se produce cuando los equipos no logran anticipar las amenazas durante la fase de arquitectura. A diferencia de los errores de implementación, refleja fallos de diseño más generales. Por ejemplo, la falta de pasos de autorización en un flujo de trabajo o flujos de restablecimiento de contraseña débiles.
Un diseño inseguro hace que las aplicaciones sean vulnerables incluso cuando las implementaciones parecen seguras. OWASP recomienda integrar el modelado de amenazas, los patrones de diseño seguro y las bibliotecas de referencia en las primeras etapas del ciclo de vida del desarrollo de software, antes de escribir una sola línea de código.
Los fallos de autenticación se mantienen en el puesto número 7 en 2025. El nombre se simplifica de "Fallos de identificación y autenticación" (2021) a "Fallos de autenticación", lo que pone mayor énfasis en la seguridad de las credenciales y las sesiones.
Estos fallos se producen cuando las credenciales de inicio de sesión, los ID de sesión o los permisos no se gestionan de forma segura; por ejemplo, al almacenar las contraseñas en texto plano o al codificar las credenciales directamente en el código.
Las vulnerabilidades de la directiva A07:2025 pueden provocar el robo de cuentas y la suplantación de identidad, lo que permite a los atacantes eludir todos los controles de seguridad posteriores y, como consecuencia, filtraciones de datos, fraude, escalada de privilegios y la vulneración total del sistema. La autenticación multifactor y las políticas de contraseñas más estrictas pueden mitigar estos riesgos.
A08:2025 abarca los fallos en los que las aplicaciones confían en las actualizaciones de software, el código o los datos sin verificar su integridad, lo que permite que artefactos no confiables o manipulados —como actualizaciones, dependencias, artefactos de CI/CD o datos serializados— se traten como legítimos y se ejecuten. El cambio de nombre de «y» a «o» refleja que la integridad del software o de los datos puede verse comprometida de forma independiente.
Entre los ejemplos se incluyen actualizaciones de software inseguras, canalizaciones CI/CD no protegidas y actualizaciones automáticas no validadas.
Abren la puerta a que los atacantes inserten código malicioso. Entre las principales preocupaciones se encuentra la deserialización insegura, una vía común para la denegación de servicio y la ejecución remota de código. Los fallos más importantes de la vulnerabilidad A08 incluyen la actualización de malware firmada de CCleaner, la toma de control de paquetes de código abierto maliciosos como Event Stream y las vulnerabilidades de deserialización insegura, donde se confió en software o datos manipulados y se ejecutaron sin verificación de integridad.
Los fallos en el registro y las alertas de seguridad se mantienen en el puesto número 9 en 2025. El nombre cambia de «Fallos en la monitorización» a «Fallos en las alertas». Un registro y unas alertas inadecuados impiden la detección, la respuesta y la investigación oportunas de los incidentes de seguridad.
Estos fallos se producen cuando los sistemas no detectan, alertan ni responden adecuadamente a las amenazas. A medida que los entornos se vuelven más complejos (microservicios, contenedores y nube), la integración de alertas es fundamental, no solo el registro pasivo.
Sin un sistema de alertas adecuado, los incidentes de seguridad pasan desapercibidos durante largos periodos, lo que puede derivar en filtraciones de datos. Normativas como HIPAA y PCI DSS exigen un registro preciso de los incidentes. Un sistema de alertas deficiente también agrava otras vulnerabilidades, como un control de acceso deficiente, al impedir la detección y respuesta rápidas. Entre los casos más destacados se encuentran las filtraciones de datos de Target y Equifax, donde la falta de registro, monitorización o alertas adecuadas permitió a los atacantes operar sin ser detectados durante periodos prolongados, incrementando drásticamente el impacto.
La gestión inadecuada de condiciones excepcionales es una nueva categoría que se incorpora en 2025. Destaca una clase de riesgo que se ha pasado por alto durante mucho tiempo: las aplicaciones que fallan de forma insegura cuando se enfrentan a entradas inesperadas, escasez de recursos, tiempos de espera agotados o errores internos.
Nota: La falsificación de solicitudes del lado del servidor (SSRF), anteriormente A10:2021, se ha incorporado a A01:2025 Control de acceso interrumpido.
Un manejo deficiente de excepciones puede filtrar datos confidenciales, como rastreos de pila o claves de API, eludir los controles de acceso mediante lógica de fallo abierto o provocar una denegación de servicio. Estas fallas suelen pasar desapercibidas en los análisis de vulnerabilidades estándar, ya que solo se manifiestan en condiciones de estrés. Esta categoría consolida 24 CWE, entre ellas CWE-209 (mensajes de error que exponen datos confidenciales), CWE-476 (desreferenciación de puntero nulo) y CWE-636 (lógica de fallo abierto).
El 50 % de los encuestados por OWASP consideraron esto como su principal preocupación emergente en materia de seguridad. Las aplicaciones deben definir modos de fallo seguros (fallo cerrado, denegación de acceso en caso de error) y utilizar marcos de gestión de errores coherentes que registren los detalles internamente y devuelvan mensajes genéricos externamente.
Principales eventos adversos graves y prevención:
El soporte integral de Parasoft para OWASP, incluido el OWASP Top 10:2025, ayuda a los usuarios a lograr DevSecOps al aplicar prácticas de desarrollo orientadas a la seguridad desde el inicio del desarrollo del proyecto.
Con la solución de Parasoft, obtendrá:
Configuraciones de prueba/política listas para usar que son totalmente configurables.
Informes nativos de estándares basados en números de identificación OWASP o CWE.
Orientación sobre cómo corregir vulnerabilidades con documentación compatible y contenido de capacitación.
Retroalimentación única en tiempo real que ofrece a los usuarios una visión continua del cumplimiento de OWASP y soporte para la remediación, con el fin de identificar y eliminar mejor los vectores de amenazas.
Ejecución desde el IDE y mediante el proceso de CI / CD para ayudar a localizar rápidamente la vulnerabilidad antes en el SDLC.
Informes interactivos y paneles personalizables, que incluyen la explotabilidad, la prevalencia en el campo, la detectabilidad y el impacto del fallo, con automatización mejorada por IA para ayudar a los usuarios a priorizar y minimizar la evaluación manual.
