Zero-day exploit

Zero-day exploit (także exploit dnia zerowego) – exploit wykorzystujący podatność, dla której producent nie udostępnił jeszcze poprawki. Atak z jego użyciem nazywa się atakiem dnia zerowego (ang. zero-day attack). Według definicji NIST taki atak wykorzystuje wcześniej nieznaną podatność sprzętu, oprogramowania układowego lub oprogramowania^[1]. W szerszym ujęciu za exploit dnia zerowego uznaje się każdy exploit istniejący przed udostępnieniem poprawki, także wtedy, gdy sama podatność jest już publicznie znana^[2].

Osoba, która znajdzie podatność, powinna najpierw powiadomić producenta lub właściciela podatnego systemu i nie publikować informacji o niej, dopóki błąd nie zostanie usunięty. Taki proces nazywa się skoordynowanym ujawnianiem podatności (ang. coordinated vulnerability disclosure, CVD). Dyrektywa NIS 2 zobowiązała państwa Unii Europejskiej do wyznaczenia zespołu CSIRT, który pełni rolę koordynatora i zaufanego pośrednika między zgłaszającymi a producentami. W Polsce jest nim CERT Polska, który publikuje informacje o zgłoszonej podatności w programie CVE zwykle po 90 dniach od przekazania producentowi jej szczegółów^[3]. Testowanie zabezpieczeń bez zgody właściciela systemu nie podlega w Polsce karze na warunkach określonych w art. 269c Kodeksu karnego, m.in. gdy testujący niezwłocznie powiadomi dysponenta systemu o wykrytych zagrożeniach^[3].

Alternatywą jest full disclosure, czyli natychmiastowe publiczne ujawnienie informacji o podatności.

Mechanizmy wykrywania oparte na wiedzy o konkretnych podatnościach nie rozpoznają ataków na podatności nieznane^[2]. Takie ataki mogą natomiast wykrywać honeypoty wysokiej interakcji, które korzystają z prawdziwych systemów i aplikacji^[4]. Przykładowo w lipcu 2005 roku kliencki honeypot HoneyMonkey firmy Microsoft wykrył pierwsze znane użycie w internecie exploita podatności javaprxy.dll w przeglądarce Internet Explorer, dla której nie było jeszcze poprawki^[2].