TL; DR
To nie są listy konkurujące ze sobą. To różne jednostki miary. Ranking CWE Top 25 klasyfikuje poszczególne typy słabości, czyli konkretne błędy w kodowaniu i projektowaniu, które stale generują luki bezpieczeństwa (CVE). Ranking OWASP Top 10 klasyfikuje szerokie kategorie ryzyka, z których każda zawiera dziesiątki typów słabości. Pytanie, który jest lepszy, to jak pytanie, czy milimetry są lepsze od metrów.
Podane pod nimi dane również są inne. Lista 25 najlepszych firm CWE w 2025 r., opublikowana przez CISW grudniu 2025 r., wraz z MITRE, A ocenił słabości kryjące się za 39 080 rekordami CVE od czerwca 2024 r. do czerwca 2025 r., ważone według częstości występowania, wagi i występowania w katalogu znanych luk wykorzystywanych przez użytkowników. Raport OWASP Top 10:2025 opierał się na ponad 175 000 rekordów CVE, a także na danych z testów aplikacji i ankietach przeprowadzonych przez praktyków, mapując 248 rekordów CWE w dziesięciu kategoriach.
Pomylenie ich kosztuje Cię podczas audytu, a nie w teorii. CWE identyfikuje konkretną lukę w zabezpieczeniach oprogramowania, dzięki czemu może zawierać dowody: ten plik, tę linię, ten odpływ. Kategoria OWASP nie może tego zrobić, ponieważ opisuje klasę ryzyka, a nie defekt. Gdy raport stwierdza, że każde ustalenie jest objęte OWASP, a CWE nie jest podstawą do żadnych ustaleń, inżynier nie może niczego naprawić, ani audytor niczego zweryfikować.
Używaj obu do różnych zadań: Lista 25 najlepszych wyników CWE dla triażu na poziomie ustaleń, działań naprawczych i pytań dotyczących zamówień; lista OWASP Top 10 dla projektowania programów, modelowania zagrożeń i szkoleń. Każde ustalenie Xygeni zawiera swój CWE wraz z dowodami w kodzie i jest mapowane na odpowiednią listę OWASP dla powierzchni, z której pochodzi. Code securityWyniki API i sztucznej inteligencji podlegają tej samej zasadzie.
Szybka odpowiedź. CWE Top 25 to coroczny ranking 25 najniebezpieczniejszych typów słabości oprogramowania, publikowany przez CISA i MITRE, oceniane na podstawie rzeczywistych danych CVE i znanych przypadków wykorzystania luk. OWASP Top 10 to ranking dziesięciu najszerszych kategorii zagrożeń bezpieczeństwa aplikacji, z których każda odnosi się do wielu luk CWE. Jedna z nich określa defekt. Druga określa temat.
Co tak naprawdę mierzy CWE Top 25
Wyliczenie wspólnych słabości to katalog typów słabości prowadzony przez MITRE. Każdy wpis opisuje jeden rodzaj słabości bezpieczeństwa oprogramowania, niezależnie od produktu czy dostawcy: nieprawidłową neutralizację danych wejściowych na stronie internetowej, zapis poza końcem bufora, brak kontroli autoryzacji.
Lista 25 najlepszych utworów CWE z 2025 r., opublikowana w grudzień 2025 przez CISA we współpracy z MITRE i HSSEDI, klasyfikuje te typy według częstotliwości występowania jako główna przyczyna 39 080 luk CVE ujawnionych między czerwcem 2024 r. a czerwcem 2025 r., ważonych według stopnia ich ważności oraz liczby wpisów dotyczących każdej luki w katalogu znanych luk wykorzystywanych w zabezpieczeniach.
Obecny szczyt listy nie zaskoczy nikogo, kto prowadził program AppSec:
- Ataki typu cross-site scripting (CWE-79) utrzymuje pierwsze miejsce już drugi rok z rzędu, z wynikiem znacznie przewyższającym wszystkie niższe pozycje
- Wstrzyknięcie SQL (CWE-89) zajmuje drugie miejsce i nadal jest wykorzystywany na każdej platformie
- Fałszowanie żądań między witrynami (CWE-352) jest trzeci
- Brak autoryzacji (CWE-862) awansowała o pięć miejsc na czwarte miejsce, co jest częścią szerszego wzrostu liczby niepowodzeń autoryzacji
- Zapis poza zakresem (CWE-787) zajmuje piąte miejsce, a bezpieczeństwo pamięci nadal znajduje się w pierwszej dziesiątce, obok wykorzystania po zwolnieniu i odczytu poza zakresem
- Pozostałą część pierwszej dziesiątki uzupełniają: przemierzanie ścieżki, wstrzykiwanie poleceń systemu operacyjnego i wstrzykiwanie kodu
Warto zwrócić uwagę na dwa wzorce. Słabości w autoryzacji rosną, co jest zgodne z architekturami o dużym obciążeniu API i architekturą chmurową, gdzie kontrola, która kiedyś znajdowała się w jednym miejscu, teraz musi być przechowywana w setkach. Bezpieczeństwo pamięci również nie znika: trzy warianty przepełnienia bufora znalazły się na liście 2025 jako nowe lub powracające pozycje, co świadczy o tym, jak bardzo przestarzałe języki C i C++ wciąż stanowią podstawę nowoczesnych systemów.
Słabość, podatność, ryzyko: trzy różne rzeczy
Większość zamieszania na tych dwóch listach wynika z pomieszania trzech pojęć, których używają profesjonaliścicisely.
- A osłabienie To rodzaj błędu. To właśnie identyfikuje CWE. Każda luka w zabezpieczeniach oprogramowania ma identyfikator, niezależnie od tego, czy ktoś kiedykolwiek ją wykorzystał w kodzie.
- A wrażliwość jest jednym z przykładów tej słabości w konkretnym produkcie, w konkretnej wersji. To właśnie identyfikuje CVEZa CVE zawsze stoi CWE, a właśnie w ten sposób powstaje lista CWE Top 25.
- A ryzyko To jest to, co atakujący osiąga i ile cię to kosztuje. To warstwa organizowana przez OWASP. Złamana kontrola dostępu to nie defekt, na który można wskazać w pliku. To kategoria obejmująca około 40 luk w zabezpieczeniach (CWE), z których każda może być rzeczywistym błędem.
Jeśli uporządkujemy te trzy listy, związek między nimi stanie się oczywisty: CVE jest przykładem słabości, słabość należy do kategorii ryzyka, a dwa rankingi opisują różne warstwy tego samego stosu.
CWE Top 25 i OWASP Top 10 – porównanie
Dwie listy, dwie jednostki miary
Ta sama domena, inna wysokość. Istotne różnice dotyczą jednostki, danych i zadania, do którego każda z nich się nadaje.
| Top 25 CWE | OWASP Top 10 | |
|---|---|---|
| Jednostka | Jeden typ słabości, na przykład wstrzyknięcie kodu SQL CWE-89 | Jedna kategoria ryzyka, obejmująca wiele typów słabości |
| Szeregi | 25 słabości | 10 kategorii, 248 CWE zmapowanych w edycji z 2025 r. |
| Dane za tym stojące | 39 080 rekordów CVE, ważonych według stopnia ważności i występowania KEV | Ponad 175 000 CVE, a także udostępnione dane dotyczące testowania aplikacji i ankiety przeprowadzone wśród praktyków |
| Opublikowany przez | CISA z MITRE i HSSEDI | Fundacja OWASP, działająca na rzecz społeczności |
| Kadencja | Roczna. Lista na rok 2025 ukaże się w grudniu 2025 r. | Co około cztery lata. Po 2021 roku nastąpił rok 2025. |
| Zakres | Całe oprogramowanie: internetowe, wbudowane, oprogramowanie sprzętowe, systemy operacyjne | Aplikacje internetowe i interfejsy API z listami towarzyszącymi dla innych powierzchni |
| Nosi dowody | Tak. CWE dołącza się do pliku, linii i przepływu danych | Nie. Kategoria opisuje klasę ryzyka, a nie wadę. |
| Najlepiej stosować do | Triage, naprawa, bezpieczne kodowanie standards, zaopatrzenie i pytania dotyczące dostawców | Projektowanie programów, modelowanie zagrożeń, szkolenia, rozmowy z zarządem i audytorami |
Trzy sposoby, w jakie zespoły popełniają błąd
- Traktując ich jak rywali. Wybór między nimi to błąd kategorii. Ranking CWE Top 25 pokazuje, które typy słabości generują największe szkody w branży. OWASP Top 10 informuje, jakie tematy ryzyka powinien uwzględnić Twój program. Dojrzały program uwzględnia oba, dla różnych odbiorców.
- Przyjęcie roszczenia w ramach ubezpieczenia OWASP. „Pokrywamy OWASP Top 10„jest niefalsyfikowalne, ponieważ kategoria to zbiór. Sam Broken Access Control mapuje około 40 luk w zabezpieczeniach oprogramowania (CWE), a żadne narzędzie dostępne na rynku nie wykrywa wszystkich luk w zabezpieczeniach oprogramowania w ramach jednej kategorii. Warto zadać dostawcy pytanie, które luki w zabezpieczeniach oprogramowania wykrywa, w jakich językach i na podstawie jakich dowodów. To pytanie ma odpowiedź. Na drugie nie.
- Mapowanie dowodów audytu na niewłaściwą warstwę. Audytor żądający dowodu na to, że ryzyko wstrzyknięcia jest kontrolowane, potrzebuje ustaleń, a nie nazwy kategorii. Ustalenie, które mówi o CWE-89, tym pliku, tym wierszu, tym parametrze, wraz z ładunkiem i poprawką, stanowi dowód. dashboard kafelek z napisem A05:2025 jest etykietą.
W edycjach z 2025 r. zaszły zmiany, na które warto zwrócić uwagę
Obie listy zostały niedawno zmienione, a kierunek podróży jest w obu przypadkach taki sam.
Autoryzacja wzrasta. Brak autoryzacji awansował na czwarte miejsce w rankingu CWE Top 25, a złamana kontrola dostępu utrzymała się na pierwszym miejscu w rankingu OWASP Top 10:2025 dzięki rozszerzonemu zakresowi, który obejmuje teraz fałszowanie żądań po stronie serwera i wyraźnie obejmuje błędy autoryzacji na poziomie obiektów i funkcji interfejsu API.
Łańcuch dostaw stał się ryzykiem najwyższej klasy. Raport OWASP Top 10:2025 umieścił awarie łańcucha dostaw oprogramowania na trzecim miejscu, rozszerzając starą kategorię podatnych komponentów o zależności, systemy kompilacji i infrastrukturę dystrybucji. Ta zmiana odzwierciedla to, co faktycznie wydarzyło się w ciągu ostatnich dwóch lat i jest to rodzaj ryzyka, którego żaden CWE nie opisuje dobrze.
A sztuczna inteligencja przeniosła się z przypisu na własne listy. Edycja OWASP z 2025 roku nie dodała kategorii AI, ale w sekcji „Kolejne kroki” wymieniła „niewłaściwe zaufanie do kodu generowanego przez AI”. Do 2026 roku ta luka została wypełniona gdzie indziej: OWASP Top 10 dla aplikacji agentowych 2026 obejmuje autonomiczne systemy wykorzystujące narzędzia i OWASP GenAI LLM Top 10 2026, opublikowany w sierpniu 2026 r., zastąpił wydanie z 2025 r. dla aplikacji LLM i rozszerzył mapowania na NIST, MITRE ATLAS i CWE. Jeśli prowadzisz tabelę mapowań, te dwa wpisy należy dodać.
Czego możemy się spodziewać dalej. Lista CWE Top 25 jest coroczna i ukazuje się pod koniec roku, dlatego edycja z 2025 roku jest aktualna, a następna ma się ukazać pod koniec 2026 roku. Lista OWASP Top 10 jest publikowana w znacznie dłuższym cyklu, około czteroletnim, co oznacza, że lista z 2025 roku pozostaje wiarygodna przez pewien czas. Ta różnica w rytmie publikacji sama w sobie uzasadnia ich wykorzystywanie do różnych celów: jeden monitoruje krajobraz zagrożeń rok po roku, drugi wyznacza kierunek programu w perspektywie średnioterminowej. Ostatnia aktualizacja tej strony miała miejsce we wrześniu 2026 roku.
Jak korzystać z obu opcji bez duplikowania pracy?
Pięć zasad, które utrzymują obie listy na swoich pasach
Listy się uzupełniają. Praca duplikuje się tylko wtedy, gdy ta sama lista jest używana do obu zadań.
- Wymagaj CWE przy każdym znalezisku Jeśli wynik nie posiada CWE, nie można go zliczyć, porównać między narzędziami, przypisać do kategorii ani zweryfikować przez kogokolwiek później. Należy to zrobić minimum. standard za każdy uruchomiony skaner i każdy raport zaakceptowany od dostawcy.
- Raportowanie dla inżynierów w CWE, dla zarządu w kategoriach OWASP Programista potrzebuje słabych punktów, pliku i poprawki. Kierownik potrzebuje tematu i trendu. Te same dane, dwa poziomy, a tłumaczenie między nimi to zadanie raportowania, a nie drugiego skanowania.
- Przekształć CWE Top 25 w bezpieczne kodowanie standards Lista jest krótka, szczegółowa i uporządkowana według rzeczywistych uszkodzeń, dzięki czemu stanowi praktyczną podstawę reguł kodowania, list kontrolnych i pytań, które należy zadać dostawcy oprogramowania przed zakupem.
- Używaj OWASP do projektowania, a nie do wykrywania Modelowanie zagrożeń, przegląd architektury i szkolenia odbywają się na poziomie kategorii, ponieważ tam właśnie odbywa się projektowanie.cisJony żyją. Twierdzenia o wykrywalności na tym poziomie to marketing, ponieważ żadne narzędzie nie obejmuje wszystkich CWE w danej kategorii.
- Ustalaj priorytety według możliwości wykorzystania, a nie według pozycji na liście Żadna z pozycji nie zna Twojej architektury. Słabość numer cztery na niedostępnej ścieżce kodu ma mniejsze znaczenie niż słabość numer dziewiętnaście na punkcie końcowym z dostępem do internetu, przechowującym regulowane dane. Użyj list, aby określić zakres, a własnego kontekstu, aby uporządkować pracę.
Jak to wygląda w znalezisku
Xygeni przypisuje klasyfikację dowodom, a nie dashboardWyniki analizy kodu zawierają informacje o typie słabości, jej powadze, lokalizacji w pliku oraz wskazówki dotyczące naprawy. Wyniki DAST zawierają dane ataku oraz pełne żądanie i odpowiedź, które go potwierdziły. Wyniki API odnoszą się do listy OWASP API Security Top 10 oraz CWE, więc ujawnienie wrażliwych danych w odpowiedzi jest powiązane zarówno z kategorią, jak i konkretną słabością. Wyniki AI odnoszą się do listy OWASP Top 10 dla aplikacji LLM, ponieważ jest to właściwa lista dla tego obszaru.
Następnie lejek priorytetyzacji wykonuje zadanie, którego nie może wykonać żadna z metod rankingowych: zawęża wszystko do tego, co jest osiągalne, możliwe do wykorzystania bez uprawnień i powiązane z czymś, na czym zależy firmie. To samo dotyczy ustaleń uzyskanych ze skanerów, które już posiadasz, więc jeden model ważności i dowodów obejmuje cały program, a nie jedno narzędzie.
FAQ
Czy lista CWE Top 25 jest lepsza od listy OWASP Top 10? Żadna z nich nie jest lepsza. Jedna klasyfikuje typy słabości, na podstawie których można działać, druga klasyfikuje kategorie ryzyka, wokół których można projektować program.
Jak często zmienia się lista CWE Top 25? Rocznie. Wydanie z 2025 roku opublikowano w grudniu 2025 roku na podstawie CVE ujawnionych między czerwcem 2024 a czerwcem 2025 roku.
Czy każdy CVE ma CWE? W zasadzie tak, a to mapowanie umożliwia ranking. CWE jest przyczyną; CVE jest instancją.
Czy pojedyncze odkrycie może należeć do obu list? Tak, i zazwyczaj tak się dzieje. Atak typu SQL injection jest objęty normą CWE-89 i mieści się w kategorii ataków typu OWASP injection, więc to samo odkrycie jest zgłaszane obustronnie różnym odbiorcom.
Co uznaje się za słabość zabezpieczeń oprogramowania? Każda powtarzająca się wada w projekcie, implementacji lub architekturze, która może prowadzić do wykorzystania luki w zabezpieczeniach: brak kontroli, niesprawdzone dane wejściowe, nieograniczony zapis. Katalog nadaje każdemu z nich identyfikator, niezależnie od tego, czy występuje on obecnie w kodzie.
O co pytają audytorzy? Pytają o oba, a dowody akceptują tylko w odniesieniu do jednego. Nazwy kategorii spełniają pytanie dotyczące polityki; wyniki na poziomie CWE z lokalizacjami spełniają test kontrolny.
Jaki jest najszybszy sposób na skorzystanie z listy CWE Top 25 w tym kwartale? Wybierz pierwszą dziesiątkę, sprawdź, które z tych słabości Twoje obecne narzędzia faktycznie wykrywają w używanych przez Ciebie językach, i potraktuj te luki jako swoją mapę drogową.
Jeden nazywa wadę, drugi nazywa temat
Najwyraźniejszy sposób na uchwycenie różnicy: lista CWE Top 25 podpowiada, co należy poprawić, a lista OWASP Top 10 podpowiada, o czym należy mówić. Program, który mówi wyłącznie w kategoriach, nie może niczego udowodnić audytorowi. Program, który mówi wyłącznie w kategoriach CWE, nie może wytłumaczyć się przed zarządem.
Każde znalezisko warte posiadania ma oba te elementy, a także lokalizację umożliwiającą jego naprawę. Zobacz, jak to wygląda na Xygeni.
