Un errore di configurazione è un'impostazione errata o incompleta che modifica il modo in cui un sistema è esposto, controllato o protetto. Può essere semplice come una regola del firewall troppo permissiva, un bucket di archiviazione pubblico, un server di test lasciato raggiungibile da Internet o un controllo di autenticazione disattivato per errore.
Questi errori sono importanti perché gli aggressori spesso li cercano per primi. Un sistema ben costruito può diventare vulnerabile senza che venga sfruttato alcun codice, se le impostazioni circostanti sono deboli. Gli errori di configurazione possono rivelare servizi interni, metadati sensibili, interfacce amministrative o percorsi verso una rete che avrebbero dovuto rimanere privati. In molte violazioni, la debolezza non è un malware avanzato, ma una risorsa distribuita con valori predefiniti non sicuri o mai rivista dopo la configurazione.
I difensori riducono questo rischio con baseline sicure, controllo delle modifiche, revisioni degli accessi, segmentazione e scansioni regolari alla ricerca di servizi esposti. In pratica, la gestione della configurazione è un controllo di sicurezza fondamentale: se le impostazioni divergono, la protezione può scomparire anche quando il software in sé non è cambiato.