Existem diversos tipos de vulnerabilidades, sendo os mais comuns:

as vulnerabilidades de software, causadas muitas vezes por validação insuficiente dos parâmetros recebidos, e
as vulnerabilidades em protocolos ou serviços.

Essas vulnerabilidades podem levar a:

estouros de pilha (buffer overflow),
negação de serviços (Denial of Service);
acesso irrestrito ao sistema vulnerável.

Elas são descobertas por pesquisadores, que podem ser da própria empresa que fabrica o produto ou pesquisadores independentes, que costumam notificar as empresas sobre a falha para que elas possam lançar correções antes da divulgação pública.

Às vezes, muitos administradores não aplicam as correções de segurança dos fabricantes nos sistemas sob sua administração, de modo que estes ficam vulneráveis a falhas conhecidas e amplamente divulgadas.

Uma forma eficiente de verificar se uma rede, aplicação ou sistema operacional está suscetível a determinadas falhas é com o uso de ferramentas de análise de vulnerabilidades. Essas ferramentas utilizam assinaturas ou regras que simulam falhas conhecidas e produzem um relatório com os problemas encontrados e possíveis soluções.

A negação de serviço pode ser:

DoS-Denial of Service, que é a negação ou indisponibilidade de um serviço causada por um ataque e
DDoS-Distributed Denial of Service, que é o ataque de negação de serviço realizado de forma distribuída e coordenada).