O que é uma vulnerabilidade de dia zero (zero-day)?

Um dia zero é uma falha de segurança que as pessoas responsáveis por corrigi-la ainda não conhecem. Quem a achou primeiro pode entrar sem oposição, porque não há correção para instalar nem aviso para agir. O nome é a contagem: o fornecedor teve zero dias para corrigir.

Um dia zero é definido por quem sabe da falha, não pela gravidade dela: uma falha comum é reportada ao fornecedor, corrigida e anunciada, então os defensores instalam a correção enquanto os atacantes correm para alcançar quem não instalou. Com um dia zero, o fornecedor e todos os defensores ainda não sabem de nada, enquanto quem a descobriu sabe exatamente onde empurrar. Não há correção para instalar, e nada para as ferramentas de segurança compararem, porque essas ferramentas trabalham com os padrões de ataques conhecidos. Quanto uma vale segue direto disso, porque até uma organização que instala cada atualização no dia em que sai não tem atualização para instalar contra esta. Corretores pagam bem acima de seis e sete dígitos por um dia zero em software amplamente usado, e os compradores incluem governos além de criminosos. A contagem do nome começa no dia em que o fornecedor finalmente descobre que a falha existe, muitas vezes porque um ataque usando-a foi detectado, e daquele dia em diante é escrever-correção contra explorar até a janela fechar. Uma coisa que vale manter em perspectiva: dias zero levam as manchetes, mas a maioria das invasões não é de dia zero coisa nenhuma — envolve uma falha que foi tornada pública e corrigida meses antes por um dono que nunca instalou a atualização.

Um defeito numa fechadura que só o ladrão conhece. A chave ainda gira, a porta ainda parece sólida e nada na casa sugere problema, enquanto um truque específico a abre em segundos. Você não conserta o que ninguém lhe contou, e o chaveiro não vende uma peça que não sabe ser necessária. O perigo inteiro mora no intervalo entre o ladrão saber e o fabricante descobrir.