Kerentanan zero-day adalah kerentanan yang dieksploitasi oleh penyerang sebelum vendor mengetahuinya atau sebelum tambalan (patch) tersedia. Nama ini berasal dari jumlah hari yang dimiliki vendor untuk memperbaikinya: nol. Pihak bertahan tidak memiliki tanda pengenal (signature), tambalan, dan peringatan. Penyerang memiliki keuntungan hingga kelemahan tersebut ditemukan dan diperbaiki. Kerentanan zero-day sangat berharga. Pemerintah dan kelompok kriminal membayar jutaan dolar untuk mendapatkannya. Pasar perantara eksploitasi (exploit broker) nyata dan menguntungkan.

Kerentanan zero-day jarang terjadi dibandingkan dengan kerentanan yang sudah diketahui. Sebagian besar pelanggaran menggunakan celah keamanan yang telah ditambal berbulan-bulan atau bertahun-tahun yang lalu. Tambalan tersebut sudah tersedia. Namun, tidak ada yang menerapkannya. Itulah mengapa penambalan lebih penting daripada pertahanan terhadap kerentanan zero-day. Ketika kerentanan zero-day muncul, responsnya sangat mendesak. Vendor bekerja tanpa henti untuk memperbaiki kerentanan tersebut. Para pembela menerapkan mitigasi, memperketat pemantauan, dan mengawasi indikator kompromi. Beberapa kerentanan zero-day dieksploitasi dalam serangan yang ditargetkan terhadap korban tertentu. Lainnya digunakan dalam kampanye yang meluas. Stuxnet menggunakan beberapa kerentanan zero-day untuk menyabotase program nuklir Iran. Itu adalah operasi negara yang dikembangkan selama bertahun-tahun. Sebagian besar kerentanan zero-day kurang dramatis. Kerentanan tersebut digunakan secara diam-diam, terhadap target yang tidak pernah tahu bahwa mereka telah diserang. Pertahanan terbaik adalah berlapis: penambalan, segmentasi, pemantauan, dan respons insiden. Tidak ada satu kontrol pun yang dapat menghentikan kerentanan zero-day. Bersama-sama, kontrol-kontrol ini memberikan waktu hingga tambalan tiba.

Fakta-fakta zero-day

• Tidak ada patch yang tersedia pada saat eksploitasi terjadi.
• Sangat berharga di pasar eksploitasi
• Jarang terjadi dibandingkan dengan eksploitasi kerentanan yang sudah dikenal.
• Digunakan dalam serangan yang ditargetkan maupun serangan yang meluas.
• Mitigasi dan pemantauan adalah pertahanan sementara.

Kerentanan zero-day adalah sebuah perlombaan. Vendor berlomba untuk menambal celah keamanan. Penyerang berlomba untuk mengeksploitasi. Pihak bertahan berlomba untuk mendeteksi.