Zero-day

Een zero-day is een kwetsbaarheid in software of hardware die nog onbekend is bij de leverancier, waardoor er nog geen patch of update voor bestaat. De naam verwijst naar het aantal dagen dat de ontwikkelaar heeft gehad om het probleem op te lossen: nul.

Wat betekent het

In de praktijk worden drie verwante termen door elkaar gebruikt. Een zero-day-kwetsbaarheid is de fout zelf. Een zero-day-exploit is werkende aanvalscode die de fout misbruikt. Een zero-day-aanval is het daadwerkelijke gebruik van die exploit tegen een doelwit. Zodra de leverancier de kwetsbaarheid kent en een patch uitbrengt, spreekt men niet meer van een zero-day, al blijven ongepatchte systemen daarna vaak nog maanden kwetsbaar.

Zero-days zijn schaars en waardevol. Ze worden verhandeld op grijze en zwarte markten en ingezet door statelijke actoren, ransomwaregroepen en exploitbrokers. Onderzoekers die een zero-day vinden, melden die idealiter via responsible disclosure aan de leverancier, zodat er een patch klaarstaat vóórdat de details openbaar worden.

Waarom het ertoe doet

Tegen een zero-day helpt patchen per definitie niet: er is nog niets om te installeren, en detectie op basis van bekende handtekeningen heeft niets om op te matchen. Verdediging draait daarom om het beperken van de schade wanneer een aanval slaagt: netwerksegmentatie, minimale rechten, monitoring op afwijkend gedrag en een geoefend incident-response-proces. Snel patchen zodra een fix verschijnt, verkleint bovendien het venster waarin criminelen een inmiddels bekende kwetsbaarheid massaal uitbuiten.

Voorbeeld

In mei 2023 misbruikte de ransomwaregroep Cl0p een tot dan toe onbekende SQL-injectiekwetsbaarheid in MOVEit Transfer (CVE-2023-34362). Bij honderden organisaties werd data gestolen voordat leverancier Progress een patch kon uitbrengen, een klassiek zero-day-scenario: de aanval was al gaande toen de wereld voor het eerst van de kwetsbaarheid hoorde.