Le vulnerabilità concatenate sono più debolezze che si combinano in un percorso di attacco più forte di quanto ne creerebbe una singola vulnerabilità da sola. Un bug può esporre solo un piccolo punto d'appoggio, mentre un altro controllo debole trasforma quel punto d'appoggio in aggiramento dell'autenticazione, escalation dei privilegi o accesso a sistemi sensibili.
Questo è importante perché i difensori spesso correggono i problemi uno alla volta e sottovalutano il modo in cui gli aggressori li collegano tra loro. Un portale di supporto pubblico, un flusso di accesso e una procedura di recupero possono sembrare ciascuno accettabili se considerati isolatamente, ma insieme possono formare una via di accesso agli account dei dipendenti o agli strumenti interni. In pratica, le vulnerabilità concatenate emergono quando gli aggressori usano un bug web a bassa gravità per raggiungere una debolezza nel login, quindi si spostano verso sessioni, pannelli di amministrazione o repository di codice. La difesa richiede di esaminare l'intero percorso di attacco: rafforzare i percorsi alternativi di autenticazione, imporre l'accesso con protezione contro il phishing, limitare la durata delle sessioni e registrare ogni transizione ad alto valore, in modo che un singolo anello debole non possa essere trasformato in una compromissione completa.