ゼロデイ脆弱性 とは？

「修正できるまでの日数がゼロ日」という意味だよ。脆弱性が発見された時点でもう攻撃に使われていて、まだ誰もパッチを作っていない状態なんだ。

完全には防げないけど、被害を最小化することはできるよ。最小権限の原則（必要最低限の権限だけ与える）・ネットワークの分離・サンドボックスなど、ゼロデイが使われても影響範囲を狭める多層防御が重要なんだ。

国家支援型のハッカーグループや高度なサイバー犯罪者が主な使い手だよ。ゼロデイの情報は「ダークウェブ市場」で数百万円から億単位で取引されることもあるんだ。特定の国家が重要インフラへの攻撃に使うケースも報告されているよ。

法的・倫理的には、発見した脆弱性はベンダーに報告（責任ある開示）するのが正解。バグバウンティ（報奨金）プログラムで合法的に報酬を得る道もある。ただし「Exploit Broker（脆弱性ブローカー）」という、ゼロデイを政府機関などに合法的に販売する会社も存在していて、安全保障と倫理の観点から議論が続いているんだよ。

ベンダーが脆弱性を公開してパッチをリリースした直後を「1-day（N-day）」と呼ぶよ。パッチが出ても全てのユーザーが即座に適用するわけじゃないから、パッチが出た後もしばらくは未適用のシステムを大量に狙う攻撃が続くんだ。「パッチが出たから安全」ではなく「すぐ適用する」ことが重要で、公表後の短時間が実は攻撃が集中しやすい危険なタイミングでもあるんだよ。