Una vulnerabilità sensibile alla configurazione è una falla che si manifesta solo quando un prodotto viene configurato in un modo particolare. La debolezza può essere presente in un ruolo, una funzionalità, un protocollo o una modalità di accesso, mentre lo stesso software è sicuro in altre configurazioni. Questo la distingue da un bug universale: il rischio dipende da come il sistema viene distribuito, non solo dalla sua versione.
Queste falle sono importanti perché gli aggressori spesso cercano le impostazioni esatte che sbloccano l'esposizione, ad esempio abilitando una funzionalità gateway, lasciando pubblica un'interfaccia di amministrazione o usando un percorso di autenticazione legacy. I difensori devono verificare sia le build del software sia la configurazione in fase di esecuzione, soprattutto sui dispositivi edge e sui sistemi di identità. In pratica, la risposta include l'inventario dei ruoli interessati, il confronto delle funzionalità abilitate con le indicazioni del fornitore e la disattivazione dei servizi non necessari prima o dopo l'applicazione delle patch. Un sistema può essere completamente aggiornato e rimanere comunque vulnerabile se la configurazione rischiosa è ancora attiva.