読み方：ゼロデイぜいじゃくせい

ゼロデイ脆弱性【0-day vulnerability】zero-day vulnerability

概要

ゼロデイ脆弱性とは、ソフトウェアやハードウェアに存在する安全上の欠陥（セキュリティ脆弱性）のうち、開発元や販売元による修正プログラム（セキュリティパッチ）や回避策がまだ提供されていない状態のもの。利用者が防御手段を持たない無防備な状態で悪用されるため、極めて危険性が高い。

通常、ソフトウェアに欠陥が発覚した場合、開発元は問題を修正するためのパッチを開発し、その案内と同時に欠陥の存在を公表する。利用者はこのパッチを適用することで脅威を防ぐことができる。しかし、開発元が問題を把握して修正を完了する前に、悪意ある第三者が欠陥を発見し、それを悪用したサイバー攻撃を開始することがある。修正手段が存在しない状態で発生するこのような攻撃を「ゼロデイアタック」（zero-day attack）と呼ぶ。

この状態の脆弱性は、防御側が事前に有効な対策を講じることが困難である。攻撃の手口や悪用ツールが先行して出回るため、システムは常に危険に晒される。被害としては、情報の窃取や改竄、不正アクセス、マルウェア感染などがある。特に、広く利用されているオペレーティングシステム（OS）やWebブラウザ、業務用ソフトウェア、サーバソフトウェアなどで発見された場合には、影響範囲が多数の組織に及ぶ。

近年では、サイバー犯罪者や国家間で活動する攻撃者グループが、未公開の脆弱性情報を高値で取引する闇市場が存在する。発見された欠陥情報が開発元に報告されず隠蔽されることで、ゼロデイ期間が長期化する傾向にある。利用者に提供される一時的な対抗策としては、該当するソフトウェアの使用を一時的に停止する、ネットワークから隔離する、不審な通信を遮断するセキュリティ製品を導入するなどの方法がある。

(2026.6.12更新)