إدارة نقاط الضعف هي «الممارسة الدورية لتحديد وتصنيف وترتيب الأولويات ومعالجة والتخفيف من» نقاط الضعف البرمجية. تُعد إدارة نقاط الضعف عنصرًا جوهريًا في أمن الحاسوب وأمن الشبكات، ولا ينبغي الخلط بينها وبين تقييم نقاط الضعف الذي يركّز على التحديد والتحليل دون المعالجة المستمرة.
يمكن اكتشاف نقاط الضعف باستخدام ماسح الثغرات الأمنية، وهو أداة تقوم بتحليل نظام الحاسوب بحثًا عن نقاط ضعف معروفة، مثل المنافذ المفتوحة، أو الإعدادات البرمجية غير الآمنة، أو القابلية للإصابة بـالبرمجيات الخبيثة. كما يمكن تحديد نقاط الضعف من خلال الرجوع إلى مصادر عامة مثل قاعدة بيانات الثغرات الوطنية (NVD)، أو التحديثات الأمنية الخاصة بموردي البرمجيات، أو عبر الاشتراك في خدمات تنبيه تجارية متخصصة في الثغرات.
أما نقاط الضعف غير المعروفة، مثل ثغرة يوم الصفر، فقد يتم اكتشافها باستخدام الفحص العشوائي (Fuzz testing). ويُعد اختبار التضبيب تقنية محورية تُغذّى فيها البرامج ببيانات إدخال عشوائية أو شبه عشوائية بهدف اكتشاف سلوك غير متوقع. وتُستخدم أدوات مثل AFL ((الإنجليزية: American Fuzzy Lop)) وlibFuzzer لأتمتة هذه العملية، مما يجعلها أسرع وأكثر كفاءة.
يمكن لاختبار التضبيب اكتشاف أنواع معينة من نقاط الضعف، مثل تجاوز سعة المخزن المؤقت، باستخدام حالات اختبار مناسبة. وبالمثل، تقوم أدوات التحليل الساكن بتحليل الشفرة المصدرية أو الملفات الثنائية لتحديد نقاط ضعف محتملة دون تنفيذ البرنامج فعليًا. كما يُستخدم التنفيذ الرمزي، وهو أسلوب متقدم يجمع بين التحليل الساكن والتحليل الديناميكي، للمساعدة في تحديد مواقع نقاط الضعف بدقة أكبر.
يمكن تسهيل هذه التحليلات باستخدام أتمتة الاختبارات. بالإضافة إلى ذلك، فإن برامج مكافحة الفيروسات التي تعتمد على التحليل الاستدلالي قد تكتشف برمجيات خبيثة غير موثقة عند رصد سلوك مشبوه، مثل محاولة الكتابة فوق ملف النظام.
قد تتضمن معالجة نقاط الضعف تثبيت نقيلة، أو تعديل سياسات أمن الشبكة، أو إعادة تهيئة البرمجيات، أو توعية المستخدمين بمخاطر الهندسة الاجتماعية.