ゼロデイ攻撃

仕組み

ソフトウェアの穴は、作り手が知り、直す版を出し、使う側が当てて、はじめて塞がります。ゼロデイ攻撃は、この最初の段より前、つまり直す版がまだ無いうちに穴が攻撃に使われている状態を指します。

名前は、作り手が穴を知ってから経った日数が 0 日、守る側に準備の日が無いことから来ています。どれだけ早く更新する組織でも、当てる物がまだ無いので、更新だけでは防げません。

狙われやすいのは、VPN の機器、メールのサーバー、ファイルの受け渡しの製品のように、インターネットに開いていて、しかも中の大事な物に近い所です。1 台を破れば社内へ入れるので、高い値の付く穴が使われます。

直す版が出たあとも、当てていない機械は同じ穴で狙われ続けます。騒ぎのあとに被害が増えるのは、この当て遅れのためです。ゼロデイの守りは、直す版を待つ間と、出たあとの当て切りの 2 つで考えます。

記録と見張りに出る形

• 外から届く機器から、ふだん出ない宛先への通信や、見たことのない種類の通信が始まる
• Web のサーバーや VPN の機器に、作った覚えの無いファイル、処理、アカウントが増える
• 作り手が配る確かめの道具や、機器の自己診断で、改ざんの跡が見つかる
• 記録が消される、止められる。記録を機器の外へ送っておかないと、跡が残らない

守れているかの確かめ方

• 注意喚起が出たら、資産の一覧から対象の製品と版を引き、当たる機械を台数で出す
• 直す版を当てたら、版の番号を機器から読み直し、当て漏れが 0 台かを確かめる
• 作り手が入られた跡の確かめ方を出していれば、当てる前と後の両方で回す。先に入られていれば、直す版を当てても追い出せない
• 外から届く入口の一覧を年に 1 回は作り直し、要らない入口を閉じたかを確かめる

実際に起きたこと

• 2024年1月11日 Ivanti Connect Secure の VPN 機器の穴 2024年1月10日に作り手が穴を公表した時点で、すでに悪用が確かめられていた。直す版が出たのは1月31日で、それまでの約3週間は回避の設定と、作り手の確かめの道具で入られた跡を調べることが守りの中心になった。 出典 JPCERT/CC「Ivanti Connect SecureおよびIvanti Policy Secureの脆弱性（CVE-2023-46805およびCVE-2024-21887）に関する注意喚起」 2026年10月25日に確かめた
• 2021年3月2日 Microsoft Exchange Server の 4 つのゼロデイ 社内に置くメールのサーバーの 4 つの穴が、直す版の公開より前に組み合わせて使われた。入ったあとは裏口のファイルを置き、メールを持ち出していた。クラウド版のメールは対象外だった。 出典 Microsoft「HAFNIUM targeting Exchange Servers with 0-day exploits」 2026年10月25日に確かめた