TL, DR
Não são listas concorrentes. São unidades de medida diferentes. O ranking CWE Top 25 classifica tipos individuais de vulnerabilidades, os erros específicos de codificação e design que continuam gerando CVEs. O ranking OWASP Top 10 classifica categorias amplas de risco, cada uma contendo dezenas desses tipos de vulnerabilidades. Perguntar qual é melhor é como perguntar se milímetros são melhores que metros.
Os dados subjacentes também são diferentes. A lista dos 25 melhores da CWE de 2025, publicada por CISUma análise conjunta com a MITRE em dezembro de 2025 classificou as vulnerabilidades por trás de 39,080 registros de CVEs (Vulnerabilidades Específicas do Cliente) entre junho de 2024 e junho de 2025, ponderadas por prevalência, gravidade e ocorrências no catálogo de Vulnerabilidades Conhecidas e Exploradas. O OWASP Top 10:2025 utilizou mais de 175,000 CVEs, além de dados de testes de aplicativos e pesquisas com profissionais da área, mapeando 248 vulnerabilidades críticas em dez categorias.
Confundir esses elementos acarreta custos na auditoria, não no âmbito abstrato. Um CWE identifica uma vulnerabilidade de segurança específica em um software, podendo, portanto, fornecer evidências: este arquivo, esta linha, este ponto de acesso. Uma categoria OWASP não pode, pois descreve uma classe de risco em vez de um defeito. Quando um relatório alega cobertura OWASP sem um CWE que sustente cada descoberta, não há nada que um engenheiro possa corrigir e nada que um auditor possa verificar.
Use ambos, para trabalhos diferentes: As 25 principais listas da CWE para triagem, remediação e questões de aquisição em nível de descoberta; as 10 principais listas da OWASP para design de programas, modelagem de ameaças e treinamento. Cada descoberta da Xygeni traz consigo sua CWE, juntamente com as evidências no código, e é mapeada para a lista OWASP relevante da superfície de onde se originou. Segurança de CódigoAs descobertas de API e IA seguem a mesma regra.
Resposta rápida. O CWE Top 25 é um ranking anual dos 25 tipos de vulnerabilidades de software mais perigosas, publicado pela CISA e MITRE, pontuadas a partir de dados reais de CVE e exploração conhecida. O OWASP Top 10 é um ranking das dez categorias de risco de segurança de aplicativos mais abrangentes, cada uma correspondendo a vários CWEs. Um nomeia a falha. O outro nomeia o tema.
O que o ranking CWE Top 25 realmente mede
Enumeração de Fraquezas Comuns é um catálogo de tipos de vulnerabilidades mantido pela MITRE. Cada entrada descreve um tipo de vulnerabilidade de segurança em software, independentemente do produto ou fornecedor: neutralização inadequada de entrada em uma página da web, escrita além do limite do buffer, ausência de verificação de autorização.
A lista CWE Top 25 de 2025, divulgada em Dezembro de 2025 por CISEm colaboração com a MITRE e a HSSEDI.A análise classifica esses tipos de vulnerabilidades de acordo com a frequência com que apareceram como causa raiz das 39,080 CVEs divulgadas entre junho de 2024 e junho de 2025, ponderadas pela gravidade e pela quantidade de entradas que cada vulnerabilidade possui no catálogo de Vulnerabilidades Exploradas Conhecidas.
O topo da lista atual não surpreenderá ninguém que já tenha gerenciado um programa de segurança de aplicativos:
- Cross-site scripting (CWE-79) Mantém o primeiro lugar pelo segundo ano consecutivo, com uma pontuação muito superior a todas as outras equipes abaixo dela.
- Injeção de SQL (CWE-89) Em segundo lugar, continua sendo explorado em todos os tipos de plataforma.
- Falsificação de solicitação entre sites (CWE-352) é o terceiro
- Autorização ausente (CWE-862) subiu cinco posições, para o quarto lugar, fazendo parte de um aumento mais amplo nas falhas de autorização.
- Escrita fora dos limites (CWE-787) Em quinto lugar, a segurança da memória permanece firmemente entre as dez principais, juntamente com o uso após liberação (use-after-free) e a leitura fora dos limites (out-of-bounds read).
- Path traversal, injeção de comandos do sistema operacional e injeção de código completam a lista dos dez principais tipos de vulnerabilidade.
Dois padrões merecem atenção. As vulnerabilidades de autorização estão aumentando, o que condiz com arquiteturas nativas da nuvem e com uso intensivo de APIs, onde a verificação que antes era feita em um único lugar agora precisa ser feita em centenas. E a segurança de memória persiste: três variantes de estouro de buffer entraram na lista de 2025 como novas entradas ou retornos, o que revela algo preocupante sobre o quanto o C e o C++ legados ainda sustentam os sistemas modernos.
Fraqueza, vulnerabilidade, risco: três coisas diferentes.
A maior parte da confusão entre as duas listas surge da fusão de três conceitos que os profissionais usam previamente.cisely.
- A fraqueza É esse tipo de erro. É o que um Engenheiro de Software Certificado (CWE) identifica. Toda vulnerabilidade de segurança em um software possui um identificador, independentemente de alguém já tê-la explorado ou não em seu código.
- A vulnerabilidade É um exemplo dessa fragilidade em um produto específico, em uma versão específica. É isso que uma CVE identifica.Um CVE sempre tem um CWE por trás dele, e é exatamente assim que o Top 25 do CWE é construído.
- A risco É o que um atacante consegue alcançar e o custo disso para você. Essa é a camada que a OWASP organiza. Um Controle de Acesso Quebrado não é um defeito que você pode apontar em um arquivo. É uma categoria que contém cerca de 40 CWEs (Avaliações de Eventos Comuns), qualquer uma das quais pode ser o bug real.
Mantenha esses três conceitos em mente, e a relação entre as listas se torna óbvia: uma CVE é uma instância de uma vulnerabilidade, uma vulnerabilidade pertence a uma categoria de risco, e as duas classificações descrevem diferentes camadas da mesma estrutura.
CWE Top 25 vs OWASP Top 10, lado a lado
Duas listas, duas unidades de medida.
Mesmo domínio, altitude diferente. As diferenças que importam estão na unidade, nos dados e na função para a qual cada uma é adequada.
| CWE Top 25 | Top 10 OWASP | |
|---|---|---|
| Unidade | Um tipo de vulnerabilidade, por exemplo, a injeção de SQL CWE-89. | Uma categoria de risco, contendo muitos tipos de fragilidade. |
| ranks | 25 pontos fracos | 10 categorias, 248 CWEs mapeados nelas na edição de 2025. |
| Dados que comprovam isso | 39,080 registros de CVE, ponderados por gravidade e ocorrências de KEV. | Mais de 175,000 CVEs, além de dados de testes de aplicativos e pesquisas com profissionais da área. |
| publicado por | CISA com MITRE e HSSEDI | A Fundação OWASP, impulsionada pela comunidade. |
| Cadência | Anual. A lista de 2025 foi divulgada em dezembro de 2025. | A cada quatro anos, aproximadamente. 2025 seguiu 2021. |
| Objetivo | Todo o software: web, embarcado, firmware, sistemas operacionais | Aplicações web e APIs, com listas complementares para outras plataformas. |
| Apresenta provas | Sim. Um CWE se conecta a um arquivo, uma linha e um fluxo de dados. | Não. Uma categoria descreve uma classe de risco, não um defeito. |
| Melhor usado para | Triagem, remediação, codificação segura standards, perguntas sobre compras e fornecedores | Desenho do programa, modelagem de ameaças, treinamento, conversas com o conselho e auditoria. |
Três maneiras pelas quais as equipes erram nisso
- Tratá-los como rivais. Escolher entre eles é um erro de categoria. O Top 25 da CWE indica quais tipos de fraquezas causam mais danos em toda a indústria. Top 10 OWASP Indica quais temas de risco seu programa precisa abordar. Um programa mais maduro cita ambos, para públicos diferentes.
- Aceitar a cobertura do OWASP como uma reclamação. “Nós cobrimos o Top 10 OWASP"É infalsificável, porque uma categoria é um recipiente. Somente o Controle de Acesso Quebrado corresponde a aproximadamente 40 CWEs (Acessos Críticos de Software), e nenhuma ferramenta no mercado detecta todas as vulnerabilidades de segurança em softwares dentro de uma única categoria. A pergunta que vale a pena fazer a um fornecedor é quais CWEs ele detecta, em quais linguagens e com que nível de evidência cada descoberta. Essa pergunta tem resposta. A outra, não.
- Mapeamento de evidências de auditoria para a camada errada. Um auditor que solicita comprovação de que o risco de injeção está controlado precisa de constatações, não de um nome de categoria. Uma constatação que indique CWE-89, este arquivo, esta linha, este parâmetro, com a carga útil e a correção, constitui evidência. dashboard A peça com a inscrição A05:2025 é uma etiqueta.
As edições de 2025 sofreram alterações que merecem destaque.
Ambas as listas sofreram alterações recentemente, e a direção da tendência é a mesma em cada uma delas.
A autorização está aumentando. A falta de autorização subiu para o quarto lugar no ranking CWE Top 25, e o controle de acesso incompleto manteve-se em primeiro lugar no OWASP Top 10:2025, com um escopo expandido que agora abrange a falsificação de solicitações do lado do servidor e cobre explicitamente falhas de autorização em nível de objeto e função da API.
A cadeia de suprimentos tornou-se um risco de primeira classe. O OWASP Top 10:2025 introduziu as Falhas na Cadeia de Suprimentos de Software em terceiro lugar, expandindo a antiga categoria de componentes vulneráveis para abranger dependências, sistemas de compilação e infraestrutura de distribuição. Essa mudança reflete o que de fato aconteceu nos últimos dois anos e é o tipo de risco que nenhum CWE (Critical Workforce Expert) isoladamente descreve bem.
E a IA passou de uma nota de rodapé para suas próprias listas. A edição de 2025 da OWASP não adicionou uma categoria de IA, mas mencionou a “confiança inadequada em código gerado por IA” em sua seção de próximos passos. Até 2026, essa lacuna foi preenchida em outros lugares: a OWASP Top 10 para Aplicações Agentes 2026 Abrange sistemas autônomos que utilizam ferramentas, e o OWASP GenAI LLM Top 10 2026A edição de 2026, publicada em agosto de 2026, substituiu a edição de 2025 para aplicações de mestrado em Direito (LLM) e expandiu seus mapeamentos para NIST, MITRE ATLAS e CWE. Se você mantém uma tabela de mapeamento, essas duas são as entradas a serem adicionadas.
O que esperar a seguir. O CWE Top 25 é anual e divulgado no final do ano, portanto a edição de 2025 é a atual e a próxima está prevista para o final de 2026. O OWASP Top 10 segue um ciclo muito mais longo, de aproximadamente quatro anos, o que significa que a lista de 2025 permanece como referência por um bom tempo. Essa diferença na frequência de publicação é, por si só, um motivo para utilizá-las para tarefas diferentes: uma monitora o cenário de ameaças ano a ano, enquanto a outra define a direção de um programa a médio prazo. Esta página foi revisada pela última vez em setembro de 2026.
Como usar ambos sem duplicar o trabalho?
Cinco regras que mantêm as duas listas em suas respectivas faixas.
As listas são complementares. O trabalho só se duplica quando a mesma lista é usada para ambas as tarefas.
- Exija um exame clínico de ambiente (CWE) para cada constatação. Se uma descoberta não tiver um CWE (Código de Experiência do Cliente), ela não poderá ser contabilizada, comparada entre ferramentas, mapeada para uma categoria ou verificada posteriormente por ninguém. Defina isso como um requisito mínimo. standard Para cada scanner que você executa e cada relatório que você aceita de um fornecedor.
- Reportar aos engenheiros em CWEs e ao conselho em categorias OWASP. Um desenvolvedor precisa da vulnerabilidade, do arquivo e da correção. Um executivo precisa do tema e da tendência. Os mesmos dados, duas perspectivas diferentes, e a tradução entre elas é uma tarefa de elaboração de relatórios, e não de uma segunda análise.
- Transforme o Top 25 da CWE em codificação segura. standards A lista é curta, específica e ordenada por danos reais, o que a torna a base prática para regras de codificação, listas de verificação de revisão e perguntas que você faz a um fornecedor antes de comprar o software dele.
- Use o OWASP para o projeto, não para a detecção. A modelagem de ameaças, a revisão da arquitetura e o treinamento funcionam no nível da categoria, porque é aí que o design se desenvolve.cisÍons vivos. Alegações de detecção nesse nível são marketing, já que nenhuma ferramenta cobre todos os CWE (elementos de água contaminados) em uma categoria.
- Priorize pela explorabilidade, não pela posição na lista. Nenhuma das classificações conhece sua arquitetura. Uma vulnerabilidade de número quatro em um caminho de código inacessível importa menos do que uma vulnerabilidade de número dezenove em um ponto de acesso à internet que armazena dados regulamentados. Use as listas para definir o escopo e seu próprio contexto para ordenar o trabalho.
Como isso se apresenta em uma descoberta
Xygeni atribui a classificação à evidência em vez de a um dashboardAs descobertas da análise de código incluem o tipo de vulnerabilidade, a gravidade, a localização no arquivo e as orientações de correção. As descobertas do DAST adicionam a carga útil do ataque e a solicitação e resposta completas que o comprovaram. As descobertas da API são mapeadas para o OWASP API Security Top 10 e para o CWE, portanto, uma exposição de dados sensíveis em uma resposta chega com a categoria e a vulnerabilidade específica por trás dela. As descobertas de IA são mapeadas para o OWASP Top 10 para Aplicações LLM, já que essa é a lista correta para essa superfície.
Em seguida, o funil de priorização faz o trabalho que nenhuma classificação consegue fazer por você: restringir tudo ao que é alcançável, explorável sem credenciais e relevante para o negócio. O mesmo tratamento se aplica às descobertas obtidas dos scanners que você já possui, de modo que um modelo de gravidade e evidência abranja todo o programa, em vez de apenas uma ferramenta.
Perguntas frequentes
O ranking CWE Top 25 é melhor que o OWASP Top 10? Nenhuma é melhor que a outra. Uma classifica os tipos de fraqueza com base em evidências que permitem agir, a outra classifica as categorias de risco em torno das quais você elabora um programa.
Com que frequência a lista dos 25 melhores da CWE muda? Anualmente. A edição de 2025 foi publicada em dezembro de 2025, com base em CVEs divulgadas entre junho de 2024 e junho de 2025.
Toda CVE possui uma CWE? Sim, e esse mapeamento é o que torna o ranking possível. O CWE é a causa raiz; o CVE é a instância.
Uma mesma descoberta pode pertencer a ambas as listas? Sim, e geralmente acontece. A injeção de SQL é classificada como CWE-89 e está dentro da categoria de injeção da OWASP, portanto, a mesma descoberta é relatada de ambas as maneiras para públicos diferentes.
O que é considerado uma vulnerabilidade de segurança em um software? Qualquer falha recorrente no projeto, implementação ou arquitetura que possa levar a uma vulnerabilidade explorável: uma verificação ausente, uma entrada não sanitizada, uma escrita ilimitada. O catálogo atribui um identificador a cada uma delas, independentemente de existir ou não no seu código atualmente.
Sobre qual delas os auditores perguntam? Eles perguntam sobre ambos os assuntos e aceitam evidências apenas para um deles. Os nomes das categorias atendem a uma questão política; as descobertas em nível CWE com localizações atendem a um teste de controle.
Qual é a maneira mais rápida de usar o Top 25 da CWE neste trimestre? Selecione os dez principais, verifique quais dessas deficiências suas ferramentas atuais realmente detectam em suas linguagens e considere as lacunas como seu roteiro de desenvolvimento.
Um nomeia o defeito, o outro nomeia o tema.
A maneira mais clara de identificar a diferença: o CWE Top 25 indica o que precisa ser corrigido, enquanto o OWASP Top 10 indica o que deve ser discutido. Um programa que se baseia apenas em categorias não consegue comprovar nada para um auditor. Um programa que se baseia apenas em CWEs não consegue se explicar para um conselho.
Toda descoberta que valha a pena ter carrega ambos os elementos, além da localização que possibilita o conserto. Veja como isso se parece em Xygeni.
