ゼロデイエクスプロイトとは？影響をわかりやすく解説

ゼロデイエクスプロイトは、修正プログラムが提供される前に攻撃が始まるため、サイバー脅威の中でも特に防ぎにくいもののひとつです。ソフトウェア開発者がまだ脆弱性に気づいていない場合や、パッチを開発している最中に攻撃者がすでにその脆弱性を悪用している場合もあります。

そのため、個人や組織が、知らないうちに脆弱性を抱えたアプリやデバイス、ブラウザ、システムを使い続けてしまい、攻撃を受けるリスクにさらされる可能性があります。

この記事では、ゼロデイエクスプロイトの仕組みや危険性、そして攻撃を受けるリスクを減らすための対策についてわかりやすく解説します。

ゼロデイ脆弱性・ゼロデイエクスプロイト・ゼロデイ攻撃の違い

用語	意味	例
ゼロデイ脆弱性	ソフトウェアやハードウェア、ファームウェアに存在する、まだ開発元に把握されていない、または修正されていない脆弱性	悪意のあるコードを実行できてしまうブラウザのバグ
ゼロデイエクスプロイト	その脆弱性を悪用するためのコードや攻撃手法	そのブラウザの脆弱性を悪用するために作られたコードや手法
ゼロデイ攻撃	ゼロデイエクスプロイトを実際に使って行われる攻撃	サイバー犯罪者による、ゼロデイエクスプロイトを利用した脆弱なデバイスへの攻撃

ゼロデイエクスプロイトの流れ

どのような対象が狙われても、ゼロデイエクスプロイトの基本的な流れはほぼ同じです。

1. 発見。攻撃者やセキュリティ研究者が、ソフトウェアやハードウェア、ファームウェア、オンラインサービスに存在する脆弱性を発見します。
2. エクスプロイトの開発。攻撃者は脆弱性を発見し、仕組みを理解すると、その脆弱性を悪用するための攻撃手法を開発します。
3. 悪用。攻撃者はエクスプロイトを使って脆弱性のあるシステムにサイバー攻撃を仕掛けます。攻撃対象は、脆弱性が存在する場所や、エクスプロイトによって攻撃者が取得できる権限の範囲によって異なります。
4. 検知。セキュリティチームやソフトウェア開発元、セキュリティ研究者、または攻撃対象となる組織が不審な動きに気づいて初めて、脆弱性の存在が明らかになることもあります。例えば、異常なネットワーク通信や予期しないシステムの変更、不審なログインなどです。
5. 情報公開。脆弱性が確認されると、ソフトウェア開発元やセキュリティ機関が注意喚起を公開することがあります。また、一部の脆弱性にはCVE（共通脆弱性識別子）が付与され、セキュリティ担当者が脆弱性を共通の識別方法で追跡できるようになります。
6. パッチ適用と被害軽減。ソフトウェア開発元は、リスクを軽減するために、パッチや回避策、設定変更などを提供します。その後、組織は対象となるシステム全体で対応策をテストし、優先順位を付けたうえで適用する必要があります。

なぜゼロデイ脅威への対策は難しいのか

ゼロデイエクスプロイトは、誰も脆弱性の存在に気づいていない段階、つまり修正パッチが公開される前の段階から始まります。

だからといって、すべてのゼロデイエクスプロイトが深刻な被害につながるわけではありません。すでに知られているセキュリティ上の脆弱性への攻撃と比べると、セキュリティ担当者に与えられる対応時間が短く、得られる情報も限られ、すぐに利用できる対応策も少ないということです。

検知が遅れることが多い

多くのセキュリティツールは、既知の脅威シグネチャをもとに脅威を検知します。つまり、すでに悪意のあるものとして特定されているファイルやコード、攻撃の特徴を見つけ出します。新たに発見されたゼロデイエクスプロイトは、最初の段階ではこうした既知のパターンと一致しません。そのため、セキュリティ担当者は、通常とは異なる不審な動きを探す必要があります。

これが、ゼロデイ攻撃による侵入が長期間気づかれない理由の一つです。Mandiant Consultingの年次レポート「M-Trends 2025」によると、2024年の世界的な侵入後の滞留時間（攻撃者がシステムへのアクセスを取得してから、その活動が検知されるまでの期間）の中央値は11日で、外部の組織によって侵入が発見されたケースでは、その中央値は26日でした¹ 。滞留時間はゼロデイ攻撃だけに当てはまる指標ではありません。しかし、このデータから、攻撃者がシステムに侵入した場合は、被害を最小限に抑えるためにも、できるだけ早く異常を検知することが重要だと言えるでしょう。

1つの脆弱性が多くのシステムに影響する可能性がある

ゼロデイ脆弱性が、多くの人や組織に利用されているソフトウェアやデバイス、サービスで見つかった場合、広範囲にわたるリスクをもたらす可能性があります。Google Threat Intelligence Groupの調査によると、2024年には75件のゼロデイ脆弱性が実際に悪用されました。また、攻撃の標的は、企業向け製品、とくにセキュリティ製品やネットワーク製品へと移行する傾向が続いていることも報告されています² 。

攻撃者は、ゼロデイエクスプロイトを利用して、スパイ活動や情報の窃取、マルウェアの配布、ランサムウェア攻撃、不正アクセスなどを行うことがあります。実際の被害の大きさは、脆弱性の内容や攻撃対象だけでなく、ソフトウェア開発元や利用者がどれだけ迅速に対応できるかによって大きく変わります。

ゼロデイエクスプロイトで狙われやすい対象

コードが動作する環境であれば、ほぼどこにでもセキュリティ上の脆弱性が存在する可能性があります。そのため、ウェブブラウザやモバイルアプリ、業務システム、クラウドプラットフォーム、ルーター、ファイアウォール、接続されたデバイスなど、さまざまなテクノロジーがゼロデイエクスプロイトの標的になる可能性があります。

ウェブブラウザとコンピューターのOS

ウェブブラウザやOSは、多くの人が日常的に利用しているため、攻撃者に狙われやすい対象です。ブラウザは、もともと信頼できないウェブコンテンツを処理するよう設計されているため、攻撃用のプログラムを送り込む手段として悪用されやすいです。ただし、ブラウザへの攻撃そのものが最終的な目的であることはほとんどありません。多くの場合は、多くの場合、ブラウザを足がかりにしてOSへ侵入し、システム全体を侵害することが目的です。

モバイルデバイスとアプリ

モバイル向けのゼロデイエクスプロイトは、スマートフォンやモバイルOS、メッセージアプリのほか、機密性の高いデータを扱うさまざまなアプリを標的にします。スマートフォンには、個人間のメッセージや位置情報、写真に加え、銀行やメールなどのアカウント情報が保存されていることも多いため、こうした攻撃は深刻な被害につながります。

企業向けソフトウェアとクラウドサービス

企業向けプラットフォームに脆弱性が見つかると、1つの脆弱性が同時に多くの組織へ影響を及ぼす可能性があるため、広範囲にわたるリスクにつながるおそれがあります。また、これらのシステムは、ユーザー認証やリモートアクセス、顧客データ、社内ワークフローなどを管理していることからも、攻撃者にとって魅力的な標的となっています。

IoTデバイスとネットワーク接続機器

IoTデバイスには、ネットワークに接続されたカメラやスマートテレビ、スマートホーム機器、プリンター、センサーなど、さまざまな機器が含まれます。これらのデバイスは、スマートフォンやノートパソコンほど頻繁にアップデートされないことがあります。また、メーカーによるサポートが終了した後も使い続けられるケースが少なくないため、セキュリティリスクが高まります。

ゼロデイエクスプロイトの実例

ゼロデイエクスプロイトが悪用された場合の影響の大きさは、脆弱性が存在する場所や、その製品がどれだけ広く利用されているかによって異なります。以下の事例から、ゼロデイリスクが、あらゆる種類のデバイスやアプリ、組織に影響する可能性があることがわかります。

• Log4Shell。Log4Shellは、Javaで広く利用されているロギングライブラリ「Apache Log4j」に見つかった深刻な脆弱性です。Log4jは数多くのプラットフォームでログ管理に利用されていたため、わずか1つの脆弱性によって、攻撃者はApache Log4jを利用していたさまざまなシステムへ侵入する足がかりを得ました。その結果、多くのサービスやアプリケーションに広範囲にわたるリスクをもたらしました。³
• Google Chrome。2024年1月、Googleは、V8 JavaScriptエンジンで実際に悪用が確認されていたメモリの境界外アクセスの脆弱性に対応するため、Chromeの緊急アップデートを公開しました。この脆弱性を悪用されると、ブラウザが使用しているメモリが不正に書き換えられ、最悪の場合、攻撃者にシステムを乗っ取られるおそれがありました。⁴
• Ivanti Connect Secure。2025年初め、CISAは、企業向けリモートアクセス製品として広く利用されている Ivanti Connect Secureにおいて、スタックベースのバッファオーバーフローという重大な脆弱性が実際に悪用されていることを報告しました。この脆弱性により、攻撃者はインターネットからアクセスできるデバイス上で、遠隔からコードを実行できました。⁵

ゼロデイ攻撃の検知と封じ込め

ゼロデイエクスプロイトの検知は困難ですが、不可能ではありません。セキュリティチームは、既知の脅威シグネチャだけに頼るのではなく、通常とは異なる活動を探します。これは振る舞いベース検知とも呼ばれます。具体的には、異常なネットワーク通信、システム設定の変更、不審なログイン試行、ファイル操作、アカウントの利用状況などを監視します。

組織がゼロデイエクスプロイトを疑った場合、最初の目的は通常、被害の拡大を防ぐことです。セキュリティチームは、脆弱性を特定する間、不審な通信を制限するために、影響を受けたシステムの隔離や、ファイアウォールのルール変更を行います。

次のステップは調査です。ログを確認し、影響を受けたシステムを特定するとともに、攻撃者によってデータやアカウント情報が流出していないかを確認します。また、ネットワーク内部で攻撃範囲を広げるラテラルムーブメントの兆候がないかも確認します。

ソフトウェア開発元がパッチや回避策を提供した場合、組織はできるだけ早く適用する必要があります。その後、何が起きたのかを振り返り、対応計画を見直すとともに、同様の攻撃を早期に検知できるよう監視体制を強化します。

ゼロデイリスクを軽減するための具体策

利用しているソフトウェアやデバイスを、ゼロデイエクスプロイトによる影響から完全に守ることはできません。重要なのは、攻撃を受けるリスクをできるだけ軽減し、万が一攻撃されても被害を最小限に抑えることです。

日頃の基本的な対策が、大きな効果につながります。

• ソフトウェアを常に最新の状態に保つ。 OS、ブラウザ、アプリ、ファームウェアの自動更新を有効にしましょう。パッチ管理は、開発元が修正プログラムを公開した後、利用者ができるだけ早くデバイスを保護できるようにするための重要な対策の一つです。
• アカウントの保護を強化する。強力なパスワードや多要素認証（MFA）を利用することで、攻撃者が脆弱性を悪用してアカウントにアクセスした場合でも、被害を抑えられる可能性があります。
• 攻撃対象となる範囲を減らす。使用していないアプリやブラウザ拡張機能を削除し、不要な接続デバイスはネットワークから外しましょう。データにアクセスできるツールが少ないほど、潜在的な弱点も減ります
• 不審なファイルやリンク、表示に注意する。ゼロデイエクスプロイトは、悪意のあるリンクやファイルを含むフィッシングメッセージ、攻撃者に侵害されたウェブサイトからのドライブバイダウンロード、偽のアップデートを促す表示などを通じて仕掛けられることがあります。
• 重要なファイルをバックアップする。バックアップはゼロデイエクスプロイトそのものを防ぐものではありません。それでも、攻撃によってデータが破損・削除・暗号化された場合にデータを復元できる可能性があります。
• 多層的なセキュリティ対策を導入する。通常とは異なる動きを監視するセキュリティツールは、既知のマルウェアの特徴パターンと一致しない脅威であっても、不審な活動として検知できることがあります。組織ではさらに、ネットワーク分割、脆弱性スキャン、侵入検知、インシデント対応計画など、より強固な防御対策を講じることができます。

よくある質問

参考情報：

1. M-Trends 2025: Data, Insights, and Recommendations From the Frontlines – Google Cloud 
2. Hello 0-Days, My Old Friend: A 2024 Zero-Day Exploitation Analysis – Google Cloud
3. Mitigating Log4Shell and Other Log4j-Related Vulnerabilities – CISA
4. CVE-2024-0519 Detail – NIST
5. Ivanti Releases Security Updates for Connect Secure, Policy Secure, and ZTA Gateways – CISA