Aplicações web têm em média 20 vulnerabilidades

Uma aplicação web apresenta, em média, 20 vulnerabilidades de segurança que podem ser exploradas para roubar dados, comprometer contas ou obter acesso não autorizado a sistemas, segundo dados do "Application Security Insight" da Barracuda.

A análise, baseada em vulnerabilidades identificadas durante cinco meses de 2026, conclui que grande parte do risco não resulta de técnicas sofisticadas, mas de problemas comuns de configuração, exposição desnecessária de informação, software desatualizado e mecanismos de autenticação inadequados.

A recolha de informação e divulgação indevida de dados representa 25% das vulnerabilidades identificadas. Estas falhas podem revelar informação sobre sistemas, domínios, serviços, páginas ocultas ou áreas administrativas, permitindo aos atacantes mapear as infraestruturas e preparar ataques mais direcionados.

Logo a seguir surge a usurpação de marcas e spoofing, responsável por 24% das falhas. Em conjunto, estas duas categorias representam 49% das vulnerabilidades detetadas. Segundo a Barracuda, as fragilidades associadas à identidade de marcas podem facilitar a clonagem de páginas, redirecionamentos para sites maliciosos, roubo de credenciais e campanhas de phishing mais credíveis.

Os problemas que permitem ataques do lado do cliente representam outros 14%. Incluem vulnerabilidades que possibilitam a execução de scripts maliciosos no navegador, como cross-site scripting (XSS), que podem ser utilizadas para roubar cookies de sessão, alterar conteúdos ou manipular a interação dos utilizadores.

A exposição de dados e os riscos de privacidade correspondem a 10% das vulnerabilidades. Informação pessoal, tokens, configurações, dados empresariais e outros conteúdos sensíveis podem ficar inadvertidamente disponíveis através de páginas Web, API, logs, cookies ou respostas mal configuradas.

A Barracuda identifica ainda problemas de segurança de rede e transporte e falhas de configuração e gestão de patches, cada um com 6% das deteções. As vulnerabilidades relacionadas com sessões e autenticação representam 5%. No total, as sete categorias analisadas correspondem a aproximadamente 90% de todas as vulnerabilidades identificadas.

Para reduzir a superfície de ataque, a Barracuda recomenda às organizações uma estratégia de monitorização e análise contínua de vulnerabilidades, acompanhada pela aplicação regular de patches e pelo reforço das configurações. Entre as medidas estão limitar a informação e interfaces expostas, eliminar software obsoleto e acompanhar vulnerabilidades conhecidas que estejam a ser exploradas.

A empresa aconselha ainda a utilização generalizada de HTTPS e protocolos TLS modernos, proteção de DNS quando aplicável, encriptação dos dados em trânsito e em repouso e adoção de mecanismos como Content Security Policy (CSP) para reduzir ataques executados através dos navegadores.

Ao nível da identidade, as recomendações incluem autenticação multifator (MFA), proteção reforçada de cookies e sessões e adoção de DMARC, SPF e DKIM para dificultar a falsificação de domínios e campanhas de phishing.

Segundo a Barracuda, embora nem todas as vulnerabilidades tenham individualmente uma classificação crítica, os atacantes podem combinar várias falhas de risco baixo ou médio para recolher informação, roubar credenciais e, em última instância, conseguir acesso não autorizado aos sistemas.