O OWASP Top 10 há muito tempo é o padrão de referência para compreender os riscos de segurança mais críticos para aplicações web. Quando a OWASP lançou sua edição de 2025, as equipes de segurança do mundo todo ficaram atentas. Hoje, temos o prazer de anunciar que o F5 Distributed Cloud Web App Scanning agora oferece suporte abrangente ao OWASP Top 10 2025, ajudando as organizações a identificar e corrigir as vulnerabilidades mais importantes.
“F5 Distributed Cloud Web App Scanning oferece cobertura para todas as 10 categorias de vulnerabilidades críticas de aplicações web do OWASP Top 10 2025.”
Quais são as novidades do OWASP Top 10 2025?
A atualização de 2025 do OWASP Top 10 analisou dados de mais de 2,8 milhões de aplicações, fornecidos pelos principais fornecedores do setor de segurança de aplicações web, mapeando 248 Common Weakness Enumerations (CWEs) nas 10 categorias — uma expansão significativa em relação às edições anteriores.
A atualização de 2025 introduz duas categorias totalmente novas e consolida outras, refletindo a evolução do cenário de ameaças. A OWASP buscou priorizar as causas-raiz em vez dos sintomas sempre que possível, tornando as orientações mais práticas para as equipes de desenvolvimento.
Confira a seguir a lista completa do OWASP Top 10 2025:
- A01:2025 - Falhas no Controle de Acesso mantém sua posição em 1º lugar como o risco mais grave à segurança de aplicações. Em média, 3,73% das aplicações testadas apresentaram uma ou mais das 40 CWEs desta categoria. Vale destacar que a Falsificação de Solicitação do Lado do Servidor (SSRF), que anteriormente era uma categoria independente na 10ª posição em 2021, foi incorporada a esta categoria.
- A02:2025 - Configuração Incorreta de Segurança subiu da 5ª posição em 2021 para a 2ª. Configurações incorretas estão se tornando cada vez mais comuns à medida que a engenharia de software moderna depende mais de comportamentos orientados por configuração. Segundo a OWASP, 3,00% das aplicações testadas apresentaram vulnerabilidades nessa categoria.
- A03:2025 - Falhas na cadeia de suprimentos de software é uma nova categoria que amplia o antigo grupo de riscos “Componentes vulneráveis e desatualizados”. Ela abrange comprometimentos em todo o ecossistema de dependências de software, sistemas de compilação e infraestrutura de distribuição. Embora apresente o menor número de ocorrências nos dados de testes, possui as maiores pontuações médias de exploração e impacto.
- A04:2025 - Falhas Criptográficas caiu da 2ª para a 4ª posição. Apesar da mudança na classificação, 3,80% das aplicações ainda apresentam fragilidades criptográficas que podem levar à exposição de dados confidenciais ou ao comprometimento do sistema.
- A05:2025 - Injeção caiu da 3ª para a 5ª posição, embora continue sendo uma das categorias mais testadas e com o maior número de CVEs associados. Essa categoria abrange desde Cross-site Scripting até Injeção de SQL.
- A06:2025 - Design Inseguro caiu da 4ª para a 6ª posição. Introduzida em 2021, essa categoria apresentou uma melhora significativa à medida que o setor adota a modelagem de ameaças e práticas de design seguro.
- A07:2025 - Falhas de Autenticação mantém sua posição, com uma pequena alteração no nome, que antes era “Falhas de Identificação e Autenticação”. A crescente adoção de frameworks padronizados de autenticação parece estar reduzindo as ocorrências.
- A08:2025 - Falhas de Integridade de Software ou Dados permanece na 8ª posição, com foco em falhas na manutenção dos limites de confiança e na verificação da integridade de artefatos de software, código e dados.
- A09:2025 - Falhas de Registro e Alertas de Segurança mantém sua posição, com uma mudança no nome para enfatizar os alertas. Como observa a OWASP: um excelente sistema de registro sem alertas oferece pouco valor para a identificação de incidentes de segurança.
- A10:2025 - Tratamento inadequado de condições excepcionais é uma nova categoria que contém 24 CWEs voltadas ao tratamento inadequado de erros, erros lógicos, falhas que permitem a continuidade da operação e outros cenários decorrentes de condições anormais.
Como o F5 Distributed Cloud Web App Scanning aborda o OWASP Top 10 de 2025
Distributed Cloud Web App Scanning oferece cobertura para todas as 10 categorias, com 50 classes de teste mapeadas para a nova estrutura.
Para as categorias principais, que incluem falhas no controle de acesso, configurações incorretas de segurança, falhas criptográficas, injeção, design inseguro, falhas de autenticação e falhas na integridade de software ou dados, nosso scanner oferece recursos abrangentes de detecção.
Essas categorias se beneficiam de conjuntos de testes maduros, aperfeiçoados ao longo de anos de varreduras em ambientes reais, e adicionamos novos testes para refletir como o escopo de cada categoria evoluiu na edição mais recente. Por exemplo, a categoria Falhas no Controle de Acesso agora abrange a Falsificação de Solicitação do Lado do Servidor (SSRF), que antes era uma categoria independente, e a categoria Configuração Incorreta de Segurança foi ampliada para abordar a crescente complexidade dos ambientes orientados por configuração.
Algumas categorias novas e ampliadas no novo OWASP Top 10, como Falhas na Cadeia de Suprimentos de Software (A03:2025), iam além da nossa detecção existente de dependências vulneráveis. Por isso, adicionamos testes para sistemas sem correções e componentes configurados incorretamente, que são frequentemente explorados por invasores em ataques à cadeia de suprimentos.
Falhas de Registro e Alerta (A09:2025) é uma categoria renomeada que agora enfatiza os alertas juntamente com os registros. Nossos novos testes ajudam a identificar lacunas no monitoramento de eventos de segurança que podem atrasar a detecção de incidentes.
Para a nova categoria, Tratamento Inadequado de Condições Excepcionais (A10:2025), introduzimos testes para exposição de dados confidenciais em mensagens de erro, ausência de páginas de erro personalizadas e tratamento inadequado de parâmetros inesperados — formas comuns pelas quais os aplicativos revelam informações inadvertidamente a invasores.
Por que isso é importante para o seu programa de segurança
Estruturas de conformidade, padrões de testes de invasão e avaliações de segurança frequentemente fazem referência ao OWASP Top 10. Com nosso scanner atualizado, as organizações podem se manter alinhadas aos padrões atuais com mais facilidade. Agora, os relatórios de segurança associam as descobertas às categorias de 2025, facilitando a comunicação dos riscos às partes interessadas e a demonstração de conformidade com estruturas que fazem referência à OWASP.
As organizações também podem priorizar a correção de riscos com mais eficácia. O OWASP Top 10 reflete padrões de ataque do mundo real, identificados a partir de testes realizados em milhões de aplicações. Ao concentrar os esforços de correção nessas categorias, as equipes tratam as vulnerabilidades com maior probabilidade de serem exploradas.
Também é importante que as organizações tratem os riscos emergentes de forma proativa, antes que os criminosos ajam. Novas categorias, como Falhas na Cadeia de Suprimentos de Software, destacam vetores de ataque que cresceram significativamente nos últimos anos. Apesar da quantidade limitada de dados de testes, as vulnerabilidades da cadeia de suprimentos apresentam as maiores pontuações de exploração e impacto; nosso scanner ajuda a identificar esses riscos antes que os invasores o façam.
Primeiros passos
Os clientes atuais do Distributed Cloud Web App Scanning se beneficiarão automaticamente dos mapeamentos atualizados do OWASP Top 10 2025 nos resultados de suas varreduras. Não é necessário fazer nenhuma alteração na configuração — basta executar as varreduras normalmente e analisar as descobertas categorizadas de acordo com a nova estrutura.
Para organizações que executam implantações locais, estão disponíveis imagens atualizadas do Docker que incluem o conjunto completo de testes do OWASP Top 10 2025.
Se você ainda não conhece o Distributed Cloud Web App Scanning, este é um excelente momento para avaliar como os testes dinâmicos de segurança de aplicações podem fortalecer sua postura de segurança. Nosso scanner combina uma detecção abrangente de vulnerabilidades com a simplicidade de uma plataforma SaaS totalmente gerenciada, ajudando as equipes de segurança a proteger suas aplicações sem a sobrecarga operacional das ferramentas tradicionais de teste dinâmico de segurança de aplicações (DAST).
Para saber mais sobre o F5 Distributed Cloud Web App Scanning e seus recursos para o OWASP Top 10 2025, acesse nossa página do produto ou entre em contato com nossa equipe para agendar uma demonstração.
Sobre o autor
Publicações relacionadas no blog
Segurança de APIs sem concessões: apresentamos novas opções flexíveis de descoberta com F5 API security
As opções ampliadas de descoberta de APIs da F5 foram desenvolvidas para oferecer o máximo de flexibilidade e atender às organizações onde quer que estejam.
Governe sua IA no presente e antecipe o futuro da sua IA
Aprenda com nosso CISO de campo, Chuck Herrin, como se preparar para o novo desafio de proteger modelos e agentes de IA.
Segurança de IA para a cadeia de suprimentos
As cadeias de suprimentos são cada vez mais impulsionadas pela IA — desde a previsão de demanda e o planejamento logístico até a análise de riscos de fornecedores e a gestão de estoque em tempo real. Essas ferramentas ajudam as empresas a reduzir custos, aumentar a resiliência e se adaptar a disrupções globais. No entanto, elas também criam novos riscos em um vasto ecossistema: nossas soluções de segurança de IA em tempo de execução protegem o setor de Cadeia de Suprimentos […]
Segurança de IA para Recursos Humanos
A IA está revolucionando o RH. As empresas estão implementando copilotos de recrutamento com IA, assistentes de integração, chatbots de suporte aos funcionários e ferramentas de análise da força de trabalho para reduzir custos e melhorar a experiência dos colaboradores. No entanto, as aplicações de RH também apresentam riscos específicos que podem expor as organizações a falhas de conformidade, alegações de viés e danos à reputação: nossas soluções de segurança de IA em tempo de execução protegem o setor de RH com […]
Equilibrando o desempenho da IA e a gestão de recursos
As organizações dependem cada vez mais de ferramentas e iniciativas de IA para impulsionar a inovação e a transformação. Cada avanço incremental na sofisticação das ferramentas de IA torna o equilíbrio entre desempenho e gestão de recursos um desafio maior e mais relevante para as equipes de TI e segurança. No entanto, esse equilíbrio é essencial para maximizar o ROI, garantir a segurança e manter a eficiência em toda a […]
Integração de APIs em IA: a base técnica
A integração de APIs é um canal essencial no ecossistema de IA, por meio do qual diferentes sistemas, plataformas e aplicações interagem. Analisamos as nuances técnicas da integração de APIs em IA, com ênfase em sua importância para aprimorar a eficiência e os recursos dos sistemas de IA. As APIs permitem a troca fluida de dados e funcionalidades entre diferentes soluções de IA […]