Una precondizione di configurazione è una funzionalità, modalità o impostazione che deve essere abilitata prima che una vulnerabilità possa essere attivata. In altre parole, il difetto esiste nel software, ma lo sfruttamento funziona solo quando il prodotto è distribuito in uno stato specifico, come una particolare modalità gateway, un'opzione di protocollo o un'impostazione di controllo accessi.
Questo è importante perché l'esposizione non è sempre uniforme in tutte le installazioni. Gli aggressori cercano dispositivi che soddisfano le precondizioni richieste, il che li aiuta a concentrare la scansione e lo sfruttamento sui bersagli più promettenti. I difensori usano la stessa idea per valutare il rischio: verificano se la funzionalità rilevante è abilitata, controllano le impostazioni ereditate o predefinite e confrontano la configurazione attiva con le indicazioni del fornitore. Un sistema può sembrare sicuro a prima vista pur restando vulnerabile, perché un'opzione nascosta, una modalità legacy o una modifica amministrativa soddisfa la condizione di attivazione.