「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として「脆弱性（ゼイジャクセイ）」について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

脆弱性は「セキュリティ上の欠陥」です。
ソフトウェアとかの不具合や弱点、考慮漏れなどの放っておくとヤバいところです。



以上を踏まえて

誰かが見つけてくれて「うわっ、これって放っておくとヤバくね？早く直さなくては」と大慌てで対応している最中の脆弱性

が「ゼロデイ脆弱性」です。
見つかって（公開されて）いるけど、まだ直っていない欠陥のことです。



例えば、そうですね。

ピヨピヨカンパニー社長のピヨ太君は、この前の役員会議にて、社員食堂でケーキ食べ放題をすることに決めました。
甘いもの好きな社員が多いので喜んでもらえると思ったのです。

とはいえ、ピヨ太君も経営者です。
もちろんコストは考えています。

ピヨピヨカンパニーのお昼休みは1時間です。
もし5分で1個食べても1人が1日に食べられる量は「1時間×（60分÷5分）個」で12個くらいだろうとピヨ太君は計算しました。



しかし！
そんなピヨ太君の計算をあざ笑うかのような出来事が起こりました。

甘いもの大好きなピヨ子さんが、お仕事もせずに1日中ぱくぱくと食べ続けたのです。
8時間食べ続けたので「8時間×（60分÷5分）個」で96個も食べてしまいました。



ピヨ太君は大慌てです。
緊急役員会議を開き「ケーキ食べ放題はお昼休みだけ！」と決めることにしました。

緊急役員会議の最中もピヨ子さんはケーキを食べ続けます。
「対策を取られる前に少しでも多く食べなくては！」の心意気で食べました。



何とか緊急役員会議が終わり、社員食堂に平和は戻りました。
しかし、時すでに遅しです。
ピヨ太君が緊急役員会議をしている間にピヨ子さんは、しこたまケーキを食べました。



めでたし、めでたし？

ここで、ピヨ太君が「やべっ！」と思ってから緊急役員会議が終わるまでの期間に注目してください。

この期間は、欠陥が見つかってはいるけど対策が完了していません。
欠陥として認識はされているけど、そこを突かれるとどうしようもない状態です。

このような

認識はされているけど対策が完了していない欠陥

がゼロデイ脆弱性です。



ソフトというのは大なり小なり「脆弱性」と呼ばれる欠陥があります。

もちろん、作る人たちは一生懸命です。
おかしなところがないように、たくさんテストをします。

それでも、作った人たちが気づかない欠陥は、あるものです。
ソフトは、それらの欠陥を残したまま世の中に公開されます。

世の中に公開されたソフトは、いろんな人がいろんな使い方をします。
アグレッシブな使い方をする人もいるでしょう。
作った人が想像もしなかった使い方をする人もいるはずです。

そうすると、作った人たちが気付かなかった欠陥が、ある日ひょっこり見つかります。

さて、この「ひょっこり見つかった欠陥」ですが、すぐにはなくなりません。
当たり前ですが、頑張って直して、はじめてなくなります。

そして、どんなに頑張っても「見つけた！」から「直った！」までを一瞬ではできません。
欠陥が見つかってから直るまでにはタイムラグが発生します。



この「見つけた！」から「直った！」までの期間内の欠陥、見つかってるけど直ってない欠陥を表す表現が「ゼロデイ脆弱性」です。



「ゼロデイ脆弱性」と出てきたら「まだ直ってない欠陥」と読み替えてください。
それで何となくの意味は つかめるはずです。

なお、ゼロデイ脆弱性を利用した攻撃は「ゼロデイアタック」と言います。
「見つけた！」から「直った！」までの期間にやられる、その欠陥を利用した攻撃です。



気が向いたら、併せて覚えてあげてください。

ゼロデイ脆弱性：見つかったけど直っていない欠陥
ゼロデイアタック：見つかったけど直っていない欠陥を利用した攻撃

です。