漏洞是指可被利用的弱點。它可能是軟體錯誤、配置錯誤、設計缺陷或人為習慣。通用漏洞揭露 (CVE) 資料庫使用唯一識別碼追蹤已知的軟體缺陷。 CVE-2021-44228，即 Log4Shell，是廣泛使用的日誌庫中的漏洞。它允許在數百萬台伺服器上執行遠端程式碼。攻擊者在漏洞披露後的幾個小時內就利用了它。補丁很快就發布，但許多系統卻數月未打補丁。

並非所有漏洞都是軟體缺陷。使用預設憑證的伺服器存在漏洞。設定為公開的雲端儲存桶存在漏洞。重複使用密碼的員工有漏洞。未進行網路分段的網路存在漏洞。漏洞的定義很廣泛，因為攻擊面也很廣。漏洞使用通用漏洞評分系統 (CVSS) 進行評分。 CVSS 根據漏洞的可利用性和影響程度，將嚴重性評為 0 到 10 分。 10 分錶示嚴重，3 分錶示輕微。評分有助於確定補丁的優先順序。但評分並非全部。隔離系統中的嚴重漏洞遠不如面向互聯網的伺服器上的中等漏洞重要。優先順序取決於具體情況。漏洞本身只是問題的一半，另一半在於是否有人能夠利用它。

漏洞來源

• 軟體漏洞－允許利用的編碼錯誤
• 配置錯誤－削弱安全性的設置
• 設計缺陷－架構弱點
• 人為因素－弱密碼、不良習慣
• 供應鏈－第三方組件的脆弱性

漏洞就像沒鎖的門。威脅就像有人試圖打開門把手。風險則是他們進入後會發生什麼事。