Una catena di vulnerabilità è costituita da due o più difetti usati insieme in modo che ciascuno aiuti l'attaccante a raggiungere la fase successiva. Un bug può aggirare l'autenticazione, rivelare dati sensibili o indebolire un controllo; un altro può poi trasformare quel punto d'appoggio in esecuzione di codice, escalation dei privilegi o accesso più ampio. Presi singolarmente, i difetti possono sembrare di impatto basso, ma combinati possono diventare una seria via di intrusione.
Le catene di vulnerabilità sono importanti perché i difensori devono bloccare ogni anello, non solo quello finale. Gli attaccanti spesso le usano contro applicazioni web, server e piattaforme enterprise in cui componenti diversi interagiscono. In pratica, una proof-of-concept per un passaggio può aumentare il rischio se è già presente una seconda debolezza. Le buone difese includono patch rapide, riduzione dell'esposizione, configurazioni rafforzate e test per verificare se più bug possono essere concatenati prima degli attaccanti.