Una vulnerabilità legacy è una debolezza di sicurezza che rimane nascosta nel codice più vecchio per molto tempo, a volte per anni, prima che qualcuno la noti e la corregga. Questi difetti spesso sopravvivono nei sistemi maturi perché il codice funziona ancora, il percorso rischioso viene esercitato raramente oppure il bug è stato introdotto prima che fossero in uso le moderne pratiche di test e revisione.
Nella sicurezza informatica, le vulnerabilità legacy contano perché l'età non riduce il rischio: un vecchio difetto può essere ancora sfruttabile nel software attuale se la funzionalità vulnerabile è raggiungibile. Gli aggressori cercano queste debolezze nei browser, nei sistemi operativi e nelle applicazioni aziendali, soprattutto dove il vecchio codice di parsing, gestione della memoria o del protocollo non è stato nuovamente sottoposto ad audit. I difensori riducono il pericolo con revisioni del codice, scansione delle vulnerabilità, patch rapide e hardening del browser o del sistema, ma il controllo più importante è individuare e rimuovere il difetto prima che lo facciano gli aggressori.