Lo sfruttamento è l'uso attivo di una debolezza del software, di una configurazione errata o di un difetto logico per far compiere a un sistema qualcosa per cui non era stato progettato. Un attaccante può sfruttare un bug per eseguire codice, aggirare l'autenticazione, rubare dati o ottenere un punto d'appoggio all'interno di una rete.
Nella sicurezza informatica, il termine è importante perché una debolezza è solo un rischio teorico finché non viene sfruttata. Una volta iniziato lo sfruttamento, i difensori devono presumere che il servizio vulnerabile possa già essere sondato da Internet o utilizzato in una catena di attacco. Questo è particolarmente pericoloso per sistemi esposti come dispositivi perimetrali, applicazioni web e servizi di accesso remoto.
Negli incidenti reali, lo sfruttamento spesso segue la divulgazione pubblica di una falla oppure viene combinato con altre debolezze per costruire un percorso di attacco funzionante. Le difese si concentrano su patch rapide, riduzione dell'esposizione, monitoraggio delle richieste sospette e verifica del fatto che i sistemi vulnerabili siano ancora raggiungibili.