Il rischio dipendente dalla configurazione è un'esposizione che cambia a seconda di quali moduli, funzionalità o direttive sono abilitati in un sistema. La stessa versione del software può presentare proprietà di sicurezza molto diverse se una distribuzione attiva un parser, una regola di reverse proxy, un modulo di autenticazione o un'estensione personalizzata, mentre un'altra li lascia disabilitati.
Questo è importante perché gli attaccanti non sfruttano il software in astratto; prendono di mira le parti che sono effettivamente raggiungibili. Un bug in un modulo opzionale può essere innocuo su un server e critico su un altro che lo carica in produzione. I difensori hanno quindi bisogno di inventario e consapevolezza della configurazione, non solo di monitoraggio delle versioni. In pratica, questo significa verificare le funzionalità attive, confrontare le direttive in esecuzione con baseline rafforzate e applicare patch o disabilitare i componenti esposti prima che diventino parte della superficie d'attacco.