El OWASP Top 10 es desde hace tiempo el estándar de referencia para comprender los riesgos de seguridad más críticos para las aplicaciones web. Cuando OWASP publicó su edición de 2025, los equipos de seguridad de todo el mundo tomaron nota. Hoy nos complace anunciar que F5 Distributed Cloud Web App Scanning ofrece ahora compatibilidad integral con OWASP Top 10 2025, lo que ayuda a las organizaciones a identificar y corregir las vulnerabilidades más importantes.
“F5 Distributed Cloud Web App Scanning ofrece cobertura para las 10 categorías de vulnerabilidades críticas de aplicaciones web del OWASP Top 10 de 2025.”
¿Qué novedades incluye el OWASP Top 10 de 2025?
La actualización de 2025 del OWASP Top 10 analizó datos de más de 2,8 millones de aplicaciones aportados por proveedores líderes en el ámbito de la seguridad de aplicaciones web y clasificó 248 enumeraciones de debilidades comunes (CWE) en las 10 categorías, lo que supone una ampliación significativa con respecto a ediciones anteriores.
La actualización de 2025 introduce dos categorías completamente nuevas y agrupa otras, reflejando así la evolución del panorama de amenazas. OWASP ha procurado centrarse, siempre que ha sido posible, en las causas raíz en lugar de en los síntomas, para que las recomendaciones resulten más prácticas para los equipos de desarrollo.
A continuación se presenta la lista completa del OWASP Top 10 de 2025:
- A01:2025 - Control de acceso deficiente mantiene el primer puesto como el riesgo más grave para la seguridad de las aplicaciones. De media, el 3,73 % de las aplicaciones analizadas presentaba una o más de las 40 CWE de esta categoría. Cabe destacar que la falsificación de solicitudes del lado del servidor (SSRF), que anteriormente constituía una categoría independiente en el décimo puesto en 2021, se ha integrado en esta categoría.
- A02:2025 - Configuración de seguridad incorrecta subió del puesto n.º 5 en 2021 al n.º 2. Las configuraciones incorrectas son cada vez más frecuentes, ya que la ingeniería de software moderna depende en mayor medida de comportamientos determinados por la configuración. Según OWASP, el 3,00 % de las aplicaciones analizadas presentaba vulnerabilidades de esta categoría.
- A03:2025 - Fallos en la cadena de suministro de software es una nueva categoría que amplía el anterior grupo de riesgos «Componentes vulnerables y obsoletos». Abarca vulneraciones en todo el ecosistema de dependencias de software, sistemas de compilación e infraestructura de distribución. Aunque es la categoría con menos casos en los datos de las pruebas, presenta las puntuaciones medias más altas de explotación e impacto.
- A04:2025 - Fallos criptográficos bajó del puesto n.º 2 al n.º 4. A pesar del cambio en la clasificación, el 3,80 % de las aplicaciones sigue presentando vulnerabilidades criptográficas que pueden provocar la exposición de datos sensibles o comprometer el sistema.
- A05:2025 - Inyección bajó del puesto n.º 3 al n.º 5, aunque sigue siendo una de las categorías más analizadas y con mayor número de CVE asociados. Esta categoría abarca desde el Cross-site Scripting hasta la inyección SQL.
- A06:2025 - Diseño inseguro bajó del puesto n.º 4 al n.º 6. Introducida en 2021, esta categoría ha experimentado una mejora notable a medida que el sector adopta el modelado de amenazas y las prácticas de diseño seguro.
- A07:2025 - Fallos de autenticación mantiene su posición con un ligero cambio de nombre respecto a «Fallos de identificación y autenticación». La creciente adopción de marcos de autenticación estandarizados parece estar reduciendo su incidencia.
- A08:2025 - Fallos de integridad del software o los datos se mantiene en el puesto n.º 8 y se centra en los fallos a la hora de preservar los límites de confianza y verificar la integridad del software, el código y los artefactos de datos.
- A09:2025 - Fallos en el registro y las alertas de seguridad mantiene su posición, pero cambia de nombre para poner el énfasis en las alertas. Como señala OWASP, un registro excelente sin alertas aporta un valor mínimo a la hora de identificar incidentes de seguridad.
- A10:2025 - Gestión inadecuada de condiciones excepcionales es una nueva categoría que contiene 24 CWE centradas en la gestión inadecuada de errores, los errores lógicos, los fallos en modo abierto y otras situaciones derivadas de condiciones anómalas.
Cómo F5 Distributed Cloud Web App Scanning aborda el OWASP Top 10 de 2025
Distributed Cloud Web App Scanning ofrece cobertura para las 10 categorías, con 50 clases de pruebas asignadas al nuevo marco.
Para las categorías principales, que incluyen fallos en el control de acceso, configuraciones de seguridad incorrectas, fallos criptográficos, inyección, diseño inseguro, fallos de autenticación y fallos en la integridad del software o los datos, nuestro escáner ofrece capacidades de detección exhaustivas.
Estas categorías se benefician de conjuntos de pruebas consolidados y perfeccionados durante años de análisis en entornos reales. Además, hemos añadido nuevas pruebas para reflejar cómo ha evolucionado el alcance de cada categoría en la última edición. Por ejemplo, el control de acceso deficiente ahora engloba la falsificación de solicitudes del lado del servidor (SSRF), que anteriormente constituía una categoría independiente, mientras que la configuración de seguridad incorrecta se ha ampliado para abordar la creciente complejidad de los entornos basados en la configuración.
Algunas categorías nuevas y ampliadas del nuevo OWASP Top 10, como los fallos en la cadena de suministro de software (A03:2025), iban más allá de nuestra capacidad existente para detectar dependencias vulnerables, por lo que hemos añadido pruebas para sistemas sin parchear y componentes mal configurados que los atacantes suelen explotar en ataques a la cadena de suministro.
Fallos de registro y alertas (A09:2025) es una categoría renombrada que ahora pone el mismo énfasis en las alertas que en el registro. Nuestras nuevas pruebas ayudan a identificar carencias en la supervisión de eventos de seguridad que podrían retrasar la detección de incidentes.
Para la nueva categoría, Gestión inadecuada de condiciones excepcionales (A10:2025), hemos incorporado pruebas para detectar la exposición de datos sensibles en mensajes de error, la ausencia de páginas de error personalizadas y la gestión incorrecta de parámetros inesperados, todas ellas formas habituales en las que las aplicaciones revelan información involuntariamente a los atacantes.
Por qué esto es importante para su programa de seguridad
Los marcos de cumplimiento, los estándares de pruebas de penetración y las evaluaciones de seguridad suelen hacer referencia al OWASP Top 10. Gracias a nuestro escáner actualizado, las organizaciones pueden mantenerse más fácilmente en consonancia con los estándares actuales. Ahora, los informes de seguridad vinculan los hallazgos con las categorías de 2025, lo que facilita la comunicación de los riesgos a las partes interesadas y la demostración del cumplimiento de los marcos que hacen referencia a OWASP.
Las organizaciones también pueden priorizar de forma más eficaz la mitigación de riesgos. El OWASP Top 10 refleja patrones de ataque reales obtenidos a partir de las pruebas realizadas en millones de aplicaciones. Al centrar los esfuerzos de mitigación en estas categorías, los equipos abordan las vulnerabilidades con mayor probabilidad de ser explotadas.
También es importante que las organizaciones aborden de forma proactiva los riesgos emergentes, antes de que actúen los ciberdelincuentes. Nuevas categorías, como los fallos en la cadena de suministro de software, ponen de relieve vectores de ataque que han aumentado considerablemente en los últimos años. A pesar de que los datos de las pruebas son limitados, las vulnerabilidades de la cadena de suministro presentan las puntuaciones más altas de explotabilidad e impacto; nuestro escáner ayuda a detectar estos riesgos antes que los atacantes.
Primeros pasos
Los clientes actuales de Distributed Cloud Web App Scanning se beneficiarán automáticamente de las asignaciones actualizadas de OWASP Top 10 2025 en los resultados de sus análisis. No es necesario realizar ningún cambio de configuración: basta con ejecutar los análisis como de costumbre y revisar los hallazgos clasificados según el nuevo marco.
Para las organizaciones que utilizan implementaciones locales, hay disponibles imágenes de Docker actualizadas que incluyen el conjunto completo de pruebas de OWASP Top 10 2025.
Si aún no conoce Distributed Cloud Web App Scanning, este es un momento excelente para evaluar cómo las pruebas dinámicas de seguridad de aplicaciones pueden reforzar su estrategia de seguridad. Nuestro escáner combina una detección exhaustiva de vulnerabilidades con la sencillez de una plataforma SaaS totalmente gestionada, lo que ayuda a los equipos de seguridad a proteger sus aplicaciones sin la carga operativa de las herramientas tradicionales de pruebas dinámicas de seguridad de aplicaciones (DAST).
Para obtener más información sobre F5 Distributed Cloud Web App Scanning y sus funcionalidades para OWASP Top 10 2025, visite nuestra página del producto o póngase en contacto con nuestro equipo para programar una demostración.
Sobre el autor
Artículos relacionados del blog
El imperativo empresarial de la IA en un mundo de nube híbrida y multinube
Cómo la IA redefine los patrones de tráfico, el riesgo de las API y el cumplimiento normativo, y por qué el paquete Distributed Cloud Services Enterprise ofrece la profundidad necesaria en entornos híbridos multicloud.
STIG de F5 NGINX: un plan de seguridad para el sector público y los entornos regulados
Descubra cómo las STIG de F5 NGINX proporcionan un modelo de seguridad para el Departamento de Defensa de EE. UU. y los entornos regulados, ayudándole a cumplir la normativa mientras crea una infraestructura sólida de confianza cero con mayor visibilidad y resiliencia.
Cómo el marco AEGIS de Forrester valida un enfoque centrado en la inferencia
El auge de la IA agéntica está transformando el panorama de la seguridad empresarial. Estos agentes de IA autodirigidos funcionan de forma autónoma, toman decisiones en tiempo real y pueden interactuar entre distintos sistemas de maneras para las que las arquitecturas tradicionales de ciberseguridad no fueron diseñadas. Aunque esto abre nuevas posibilidades, también introduce riesgos sistémicos: fallos en cascada, secuestro de objetivos y superficies de ataque hasta ahora invisibles. El reciente […] de Forrester
La nueva superficie de riesgo de la IA: invisible, autónoma y ya está dentro
James White, vicepresidente de Ingeniería de F5 A mediados de 2025, es un buen momento para hacer balance de la adopción de la IA en las empresas y del estado de la seguridad de la IA. El uso de la IA generativa ya es habitual en las empresas En general, las empresas cuentan al menos con unos conocimientos básicos sobre la IA generativa. Entienden qué es y dónde puede […]
Protegiendo el futuro: cómo CalypsoAI se alinea con el Top 10 de OWASP para los LLM
Cuando OWASP publicó su Top 10 de 2025 para grandes modelos de lenguaje (LLM), proporcionó al sector un referente de seguridad muy necesario. Pero los referentes no sirven de nada si no se actúa. CalypsoAI aborda el 80 % del Top 10 de OWASP, dando prioridad a los riesgos reales más urgentes. La plataforma combina protección en tiempo real durante la ejecución y pruebas adversariales exhaustivas, ofreciendo una cobertura inigualable frente a las […]
Implementación de LLM en la empresa: mediante una API local
Por sí solos, sin medidas de protección ni protocolos adicionales de seguridad para la IA, el despliegue de modelos de IA generativa —en particular, modelos de lenguaje de gran tamaño (LLM)— en toda la empresa supone una oportunidad de alto riesgo y grandes beneficios para cualquier organización. Sin embargo, determinar exactamente cómo debe dar su organización este gran paso hacia el ámbito de la IA generativa requiere una planificación minuciosa. Quizá […]