Lo stato della configurazione è l'insieme delle impostazioni attive su un sistema: servizi abilitati, porte esposte, autorizzazioni, flag delle funzionalità e altre scelte di runtime. Descrive ciò che è effettivamente in uso, non solo quale software è installato o quale versione è presente.
Nella sicurezza informatica, lo stato della configurazione è importante perché può decidere se una vulnerabilità è raggiungibile. Un difetto può esistere in un prodotto, ma se la funzionalità rischiosa è disabilitata, vincolata a localhost o isolata dietro un confine di privilegio, un attaccante potrebbe non essere in grado di sfruttarla. I difensori usano la revisione della configurazione per ridurre la superficie di attacco, confermare l'impatto di una patch e individuare componenti esposti che trasformano un problema teorico in uno reale. Gli attaccanti, a loro volta, cercano configurazioni errate come interfacce di amministrazione pubbliche, impostazioni predefinite deboli o servizi opzionali lasciati attivi. In pratica, i team di sicurezza dovrebbero verificare sia la versione corretta sia le funzionalità esatte abilitate su ciascun host.