TL; DR
אלו אינן רשימות מתחרות. אלו יחידות מידה שונות. 25 סוגי החולשות המובילים של CWE מדרגים את סוגי החולשות הספציפיים, את טעויות הקידוד והעיצוב הספציפיות שגורמות ל-CVEs להמשיך וליצור. עשרת קטגוריות הסיכונים המובילות של OWASP מדרגות קטגוריות סיכון רחבות, כאשר כל אחת מהן מכילה עשרות סוגי חולשות אלה. לשאול מה עדיף זה כמו לשאול האם מילימטרים מנצחים מטרים.
גם הנתונים שמתחתם שונים. 25 המובילים של CWE לשנת 2025, פורסם על ידי CISA, שנערך עם MITRE בדצמבר 2025, דירג את החולשות מאחורי 39,080 רשומות CVE מיוני 2024 עד יוני 2025, כשהן משוקללות לפי שכיחות, חומרה והופעה בקטלוג הפגיעויות הידועות המנוצלות. OWASP Top 10:2025 התבסס על יותר מ-175,000 CVEs בנוסף לתרום נתוני בדיקות יישומים וסקרים בקרב אנשי מקצוע, ומיפה 248 CWEs על פני עשר קטגוריות.
בלבול ביניהם עולה לכם בביקורת, לא באופן מופשט. דוח CWE מזהה חולשת אבטחה ספציפית בתוכנה, כך שהוא יכול לשאת ראיות: קובץ זה, שורה זו, ניקוז זה. קטגוריית OWASP לא יכולה, משום שהיא מתארת סוג של סיכון ולא פגם. כאשר דוח טוען לכיסוי OWASP ללא CWE מאחורי כל ממצא, אין דבר שמהנדס יכול לתקן ואין דבר שרואה חשבון יכול לאמת.
השתמש בשניהם, עבור עבודות שונות: 25 ה-CWE המובילים עבור שאלות מיון, תיקון ורכש ברמת הממצאים; 10 ה-OWASP המובילים עבור תכנון תוכניות, מידול איומים והדרכה. כל ממצא של Xygeni נושא את ה-CWE שלו לצד הראיות בקוד, וממופה לרשימת OWASP הרלוונטית עבור המשטח שממנו הגיע. Code securityממצאי API ובינה מלאכותית כולם פועלים לפי אותו כלל.
תשובה מהירה. דירוג CWE Top 25 הוא דירוג שנתי של 25 סוגי חולשות התוכנה המסוכנות ביותר, שפורסם על ידי CISA ו-MITRE, דורגו מנתוני CVE אמיתיים וניצול ידוע. עשרת הקטגוריות המובילות של OWASP הוא דירוג של עשר קטגוריות הסיכון הרחבות ביותר לאבטחת יישומים, כאשר כל אחת מהן ממפה ל-CWEs רבים. אחת מציינת את הפגם. השנייה מציינת את הנושא.
מה באמת מודד דירוג 25 המובילים של CWE
ספירת חולשות נפוצות הוא קטלוג של סוגי חולשות המתוחזק על ידי MITRE. כל ערך מתאר סוג אחד של חולשת אבטחה בתוכנה, ללא תלות במוצר או בספק: ניטרול לא תקין של קלט בדף אינטרנט, כתיבה מעבר לסוף מאגר, בדיקת הרשאה חסרה.
25 המובילים של CWE לשנת 2025, שפורסמו ב דצמבר 2025 על ידי CISבשיתוף פעולה עם MITRE ו-HSSEDI, מדרג את הסוגים הללו לפי התדירות שבה הם הופיעו כשורש הגורמים ל-39,080 פגיעויות CVE שנחשפו בין יוני 2024 ליוני 2025, משוקללות לפי חומרה ולפי מספר הערכים שיש לכל חולשה בקטלוג הפגיעויות הידועות המנוצלות.
ראש הרשימה הנוכחי לא יפתיע אף אחד שניהל תוכנית AppSec:
- סקריפטים בין אתרים (CWE-79) מחזיקה במקום הראשון זו השנה השנייה, עם ציון גבוה בהרבה מכל מה שמתחתיו
- הזרקת SQL (CWE-89) נמצא במקום השני, עדיין מנוצל בכל סוגי הפלטפורמות
- זיוף בקשה בין אתרים (CWE-352) הוא שלישי
- אישור חסר (CWE-862) קפצה חמישה מקומות למקום הרביעי, כחלק מעלייה רחבה יותר בכשלים באישורים
- כתיבה מחוץ לתחום (CWE-787) נמצא במקום החמישי, כאשר בטיחות הזיכרון עדיין בעשירייה הראשונה לצד שימוש לאחר שחרור וקריאה מחוץ לתחום
- חציית נתיבים, הזרקת פקודות מערכת הפעלה והזרקת קוד משלימות את שאר עשרת האפשרויות המובילות.
שני דפוסים ראויים לקריאה. חולשות בהרשאות מטפסות, דבר המלווה בארכיטקטורות כבדות-API וארכיטקטורות ענן-מקוריות, שבהן הבדיקה שבעבר ישבה במקום אחד צריכה כעת לשבת במאות. ובטיחות הזיכרון מסרבת לעזוב: שלושה גרסאות של גלישת buffer נכנסו לרשימת 2025 כערכים חדשים או חוזרים, מה שאומר משהו לא נוח לגבי עד כמה C ו-C++ מדור קודם עדיין תומכים במערכות מודרניות.
חולשה, פגיעות, סיכון: שלושה דברים שונים
רוב הבלבול בין שתי הרשימות נובע מקריסת שלושה מושגים בהם משתמשים אנשי מקצוע לפני...cisאלי.
- A חולשה זהו סוג הטעות. זה מה שמזהה CWE. לכל חולשת אבטחה בתוכנה יש מזהה, בין אם מישהו ניצל אותה אי פעם בקוד שלך ובין אם לא.
- A פגיעות היא דוגמה אחת לחולשה זו במוצר ספציפי, בגרסה ספציפית. זה מה שמזהה CVEל-CVE תמיד יש CWE מאחוריו, וזו בדיוק הדרך בה בונים את רשימת 25 ה-CWE המובילים.
- A הסיכון הוא מה שתוקף משיג ומה זה עולה לך. זוהי השכבה ש-OWASP מארגנת. בקרת גישה פגומה אינה פגם שניתן להצביע עליו בקובץ. זוהי קטגוריה המכילה כ-40 בקרות בקרת גישה פגומות, שכל אחת מהן עשויה להיות הבאג עצמו.
אם שמרנו על שלושת הרשימות הללו מסודרות, הקשר בין הרשימות מתברר: CVE הוא דוגמה לחולשה, חולשה שייכת לקטגוריית סיכון, ושני הדירוגים מתארים שכבות שונות של אותה ערימה.
25 המובילים של CWE לעומת 10 המובילים של OWASP, זה לצד זה
שתי רשימות, שתי יחידות מידה
אותו תחום, גובה שונה. ההבדלים החשובים הם ביחידה, בנתונים ובמשימה שכל אחד מהם מתאים לה.
| 25 המובילים של CWE | OWASP 10 הראשונים | |
|---|---|---|
| יחידה | סוג חולשה אחד, לדוגמה הזרקת SQL CWE-89 | קטגוריית סיכון אחת, המכילה סוגי חולשות רבים |
| דרגות | 25 חולשות | 10 קטגוריות, 248 אזורי אנרגיה מרובי משתתפים ממופים לרוחבן במהדורת 2025 |
| הנתונים מאחורי זה | 39,080 רשומות CVE, משוקללות לפי חומרה והופעות KEV | יותר מ-175,000 CVEs, בנוסף לנתוני בדיקות אפליקציות וסקרים של אנשי מקצוע |
| פורסם על ידי | CISA עם MITRE ו-HSSEDI | קרן OWASP, מונעת על ידי הקהילה |
| קיידנס | שנתי. רשימת 2025 נחתה בדצמבר 2025 | כל ארבע שנים בערך. 2025 אחרי 2021 |
| היקף | כל התוכנות: אינטרנט, משובצות, קושחה, מערכות הפעלה | יישומי אינטרנט וממשקי API, עם רשימות נלוות עבור משטחים אחרים |
| נושא ראיות | כן. קובץ CWE מתחבר לקובץ, שורה וזרימת נתונים | לא. קטגוריה מתארת סוג של סיכון, לא פגם |
| הכי מתאים ל | מיון, תיקון, קידוד מאובטח standardשאלות בנוגע לרכש וספקים | תכנון תוכנית, מידול איומים, הדרכה, שיחות דירקטוריון וביקורת |
שלוש דרכים שבהן קבוצות טועות
- מתייחסים אליהם כאל יריבים. בחירה ביניהם היא טעות בקטגוריה. רשימת 25 החולשות המובילות של CWE מראה לכם אילו סוגי חולשות מייצרים את הנזק הרב ביותר בתעשייה. OWASP 10 הראשונים אומר לך אילו נושאי סיכון התוכנית שלך צריכה לכסות. תוכנית בוגרת מצטטת את שניהם, עבור קהלים שונים.
- קבלת כיסוי OWASP כתביעה. "אנחנו מכסים את OWASP 10 הראשונים"אינו ניתן להפרכה, משום שקטגוריה היא קטגוריה אחת. בקרת גישה שבורה לבדה מתאפיינת בכ-40 בקרות גישה מקושרות (CWEs), ואף כלי בשוק לא מזהה כל חולשת אבטחה בתוכנה בתוך קטגוריה אחת. השאלה שכדאי לשאול ספק היא אילו בקרות גישה מקושרות הוא מזהה, באילו שפות, ועם אילו ראיות לכל ממצא. לשאלה הזו יש תשובה. לאחרת אין.
- מיפוי ראיות ביקורת לשכבה הלא נכונה. מבקר המבקש הוכחה לכך שסיכון ההזרקה נשלט זקוק לממצאים, לא לשם קטגוריה. ממצא שאומר CWE-89, קובץ זה, שורה זו, פרמטר זה, עם המטען והתיקון, הוא ראיה. dashboard אריח שאומר A05:2025 הוא תווית.
מהדורות 2025 השתנו בדרכים שכדאי לשים לב אליהן
שתי הרשימות עברו לאחרונה, וכיוון התנועה בשתיהן זהה.
כמות האישור הולכת ועולה. הרשאה חסרה טיפסה למקום הרביעי בדירוג 25 המובילים של CWE, ו-Broken Access Control נותרה במקום הראשון בדירוג 10 המובילים של OWASP לשנת 2025 עם היקף מורחב שכעת סופג זיופים של בקשות בצד השרת ומכסה במפורש כשלים בהרשאות ברמת אובייקטים ופונקציות של API.
שרשרת האספקה הפכה לסיכון מהשורה הראשונה. OWASP Top 10:2025 הציג את כשלים בשרשרת האספקה של תוכנה במקום השלישי, והרחיב את קטגוריית הרכיבים הפגיעים הישנה כך שתכלול תלויות, מערכות בנייה ותשתיות הפצה. שינוי זה משקף את מה שקרה בפועל בשנתיים האחרונות, וזהו סוג הסיכון שאף CWE אחד לא מתאר היטב.
ובינה מלאכותית עברה מהערת שוליים לרשימות משלה. מהדורת OWASP לשנת 2025 לא הוסיפה קטגוריית בינה מלאכותית, אך היא קראה ל"אמון לא הולם בקוד שנוצר על ידי בינה מלאכותית" בסעיף הצעדים הבאים. עד שנת 2026, הפער הזה מולא במקום אחר: ה... עשרת האפליקציות המובילות של OWASP לסוכנויות לשנת 2026 מכסה מערכות אוטונומיות המשתמשות בכלים, ואת ה 10 המובילים בתואר ראשון במשפטים של OWASP GenAI לשנת 2026, שפורסם באוגוסט 2026, החליף את מהדורת 2025 עבור יישומי LLM והרחיב את המיפויים שלו ל-NIST, MITRE ATLAS ו-CWE. אם אתם מתחזקים טבלת מיפוי, שני הערכים הללו הם שיש להוסיף.
למה לצפות בהמשך. רשימת 25 המובילים של CWE היא שנתית ונוחתת בסוף השנה, כך שמהדורת 2025 היא הנוכחית והבאה צפויה להתפרסם בסביבות סוף 2026. עשרת המובילים של OWASP פועלת על פי מחזור ארוך בהרבה, בערך ארבע שנים, מה שאומר שרשימת 2025 נשארת סמכותית לזמן מה. ההבדל בקצב הפעולה הוא כשלעצמו סיבה להשתמש בהם למשימות שונות: האחד עוקב אחר נוף האיומים שנה אחר שנה, השני קובע את כיוון התוכנית לטווח הבינוני. דף זה נבדק לאחרונה בספטמבר 2026.
איך להשתמש בשניהם בלי לשכפל עבודה?
חמישה כללים שישמרו על שתי הרשימות בנתיבים שלהן
הרשימות משלימות. העבודה משוכפלת רק כאשר משתמשים באותה רשימה עבור שתי העבודות.
- דרוש בדיקת CWE על כל ממצא אם ממצא אינו נושא ציון CWE, לא ניתן לספור אותו, להשוות אותו בין כלים שונים, למפות אותו לקטגוריה או לאמת אותו על ידי מישהו אחר כך. הפוך אותו למינימום standard עבור כל סורק שאתה מפעיל וכל דוח שאתה מקבל מספק.
- דווח למהנדסים ב-CWEs, לדירקטוריון בקטגוריות OWASP מפתח צריך את החולשה, את הקובץ ואת התיקון. מנהל צריך את הנושא והמגמה. אותם נתונים, שני גבהים, ותרגום ביניהם הוא עבודת דיווח ולא סריקה שנייה.
- הפכו את 25 המובילים של CWE לקידוד מאובטח standards הרשימה קצרה, ספציפית ומסודרת לפי נזק אמיתי, מה שהופך אותה לבסיס מעשי לכללי קידוד, סקירת רשימות תיוג והשאלות שאתם שואלים ספק לפני שאתם רוכשים את התוכנה שלו.
- השתמשו ב-OWASP לתכנון, לא לזיהוי מידול איומים, סקירת ארכיטקטורה והדרכה ברמת הקטגוריה, כי שם מתכננים את העיצובcisיונים חיים. טענות גילוי ברמה זו הן שיווקיות, מכיוון שאף כלי לא מכסה כל CWE בקטגוריה.
- תעדוף לפי ניצול, לא לפי מיקום ברשימה אף אחד מהדירוגים לא מכיר את הארכיטקטורה שלך. חולשה מספר ארבע בנתיב קוד בלתי נגיש חשובה פחות מחולשה מספר תשע עשרה בנקודת קצה הפונה לאינטרנט המכילה נתונים מוסדרים. השתמש ברשימות כדי לקבוע את היקף העבודה, ובהקשר שלך כדי לסדר את העבודה.
איך זה נראה בממצא
קסיגני מצמיד את הסיווג לראיות ולא ל- dashboardממצאים מניתוח קוד נושאים את סוג החולשה, חומרתה, מיקום בקובץ והנחיות התיקון. ממצאי DAST מוסיפים את מטען ההתקפה ואת הבקשה המלאה והתגובה שהוכיחו אותה. ממצאי ה-API ממופים לעשרת ה-OWASP API Security Top 10 ול-CWE, כך שחשיפת נתונים רגישים בתגובה מגיעה גם עם הקטגוריה וגם עם החולשה הספציפית שמאחוריה. ממצאי בינה מלאכותית ממופים לעשרת ה-OWASP Top 10 עבור יישומי LLM, מכיוון שזו הרשימה הנכונה עבור משטח זה.
לאחר מכן, משפך העדיפויות עושה את החלק שאף דירוג לא יכול לעשות עבורך: צמצום הכל למה שניתן להגיע אליו, לנצל אותו ללא אישורים, ומחובר למשהו שאכפת לעסק. אותו טיפול חל על ממצאים שנקלטו מהסורקים שכבר בבעלותך, כך שמודל אחד של חומרה וראיות מכסה את כל התוכנית ולא כלי אחד.
שאלות נפוצות
האם רשימת 25 המובילים של CWE טובה יותר מעשרת המובילים של OWASP? אף אחד מהם אינו טוב יותר. האחד מדרג סוגי חולשות עם ראיות שניתן לפעול לפיהן, השני מדרג קטגוריות סיכון שלפיהן אתם מתכננים תוכנית.
באיזו תדירות משתנה רשימת 25 הטופ של CWE? מדי שנה. מהדורת 2025 פורסמה בדצמבר 2025, ונלקחה מ-CVEs שנחשפו בין יוני 2024 ליוני 2025.
האם לכל CVE יש CWE? למעשה כן, והמיפוי הזה הוא מה שמאפשר את הדירוג. ה-CWE הוא שורש הבעיה; ה-CVE הוא המופע.
האם ממצא אחד יכול להשתייך לשתי הרשימות? כן, ובדרך כלל זה קורה. הזרקת SQL היא CWE-89 ונמצאת בקטגוריית הזרקת OWASP, כך שאותו ממצא מדווח בשני הכיוונים לקהלים שונים.
מה נחשב לנקודת תורפה ביטחונית בתוכנה? כל פגם חוזר בתכנון, ביישום או בארכיטקטורה שיכול להוביל לפגיעות הניתנת לניצול: בדיקה חסרה, קלט לא מחוטא, כתיבה בלתי מוגבלת. הקטלוג נותן לכל אחת מהן מזהה, בין אם היא קיימת בקוד שלך כיום ובין אם לאו.
על איזה מהם שואלים רואי החשבון? הם שואלים על שניהם, ומקבלים ראיות רק עבור אחד מהם. שמות קטגוריות עונים על שאלת מדיניות; ממצאים ברמת CWE עם מיקומים עונים על מבחן בקרה.
מהי הדרך המהירה ביותר להשתמש ב-CWE Top 25 ברבעון הזה? קחו את עשרת החולשות המובילות, בדקו אילו מהן החולשות הכלים הנוכחיים שלכם באמת מזהים בשפות שלכם, והתייחסו לפערים כאל מפת דרכים.
אחד שם את הפגם, השני שם את הנושא
הדרך הברורה ביותר לעמוד על ההבדל: רשימת 25 המובילים של CWE אומרת לכם מה לתקן, ועשרת המובילים של OWASP אומרת לכם על מה לדבר. תוכנית שמדברת רק בקטגוריות לא יכולה להוכיח דבר למבקר. תוכנית שמדברת רק ב-CWE לא יכולה להסביר את עצמה לדירקטוריון.
כל ממצא ששווה להשיג נושא את שניהם, בנוסף למיקום שהופך אותו לניתן לתיקון. ראה איך זה נראה ב קסיגני.
