ゼロデイ脆弱性 とは？

公式の修正がまだ用意されていない、新たな脆弱性を指す言い方だよ。開発元が知らない場合もあれば、問題を把握して修正を進めている場合もある。弱点である「脆弱性」と、それを悪用する「攻撃」は分けて考えよう。

修正パッチがなくても、開発元が回避策を案内している場合があるよ。影響する機能を制限するなどして、修正が出るまでのリスクを減らせることがある。問題ごとに有効な方法が違うので、「対策のしようがない」と決めつけず、対象製品の案内を確認するんだ。

脆弱性があることと、実際に悪用されたことは別だよ。ゼロデイ攻撃は、それまで知られていなかった弱点を悪用する攻撃のこと。脆弱性の情報を読むときは、どの製品が影響するか、悪用の確認があるか、回避策はあるかを分けて見よう。

開発元の報告窓口や調整機関に情報を伝え、修正や公開の進め方を調整する方法があるよ。たとえばMicrosoftの協調的な脆弱性開示では、開発元と研究者が連携して修正や回避策を用意し、利用者を守るための情報公開を調整するんだ。

公開されたことと、自分の環境に適用できたことは別だよ。対象の製品・バージョンを確認して修正を適用し、必要な再起動なども含めて対応を確かめる。Microsoftの管理機能でも、パッチが出ると修正の推奨に切り替わるので、公開後も対応が必要なんだ。