Un componente di terze parti è un software creato da un fornitore diverso dal produttore del prodotto che lo include. I prodotti possono integrare librerie, framework o componenti di runtime per offrire funzionalità senza dover sviluppare ogni parte da zero. Questi componenti possono presentare vulnerabilità proprie e richiedere aggiornamenti di sicurezza separati.
In ambito di sicurezza informatica, una falla in un componente integrato può mettere a rischio l’intero prodotto, anche quando il codice sviluppato dal produttore non è interessato. Gli aggressori possono prendere di mira un componente vulnerabile attraverso l’applicazione o il servizio che lo espone. I difensori dovrebbero identificare i componenti e le relative versioni nel proprio inventario software, consultare gli avvisi dei fornitori per individuare i prodotti interessati e applicare le patch pertinenti. Un aggiornamento di sicurezza generale può riguardare sia il codice di un fornitore sia componenti di terze parti, quindi i team dovrebbero verificare quali prodotti e versioni distribuiti richiedono un intervento.