ゼロデイ攻撃は、修正プログラムがまだ存在しない脆弱性を突く攻撃です。利用者の側に「直す」という選択肢が無い時間帯を狙うため、更新を欠かさない組織でも入られます。
結論から書きます。備えは2つに分かれます。修正が無い期間に、攻撃の入口と侵入後に動ける範囲を削っておくこと。そして修正が出た直後の数日で、確実に当て切ること。どちらも平時の段取りで決まります。攻撃の当日に判断を増やさないための準備です。
無料で製品資料をお送りしています。侵入後に被害を広げないアカウント・権限・端末の管理の見直しにお使いください。 製品資料をダウンロードする →
ゼロデイ攻撃とは、修正が出る前の脆弱性を突く攻撃
脆弱性が公になってから修正プログラムが出るまでの日数を数えるとき、修正が存在しない状態が0日目にあたります。この0日目を狙うのがゼロデイ攻撃です。攻撃者が先に穴を見つけている場合もあり、開発元が気づいた時点で既に悪用が始まっていることもあります。
利用者から見た厄介さは、対処の選択肢が「止める・隠す・見張る」に限られる点にあります。公開を止める、通信を遮る、挙動を監視する。更新という手が使えないぶん、どれも業務を削るか人手を割く話になります。
ゼロデイ攻撃とNデイ攻撃の違い
修正が出た後も更新されずに残った脆弱性を突く攻撃は、Nデイ攻撃と呼ばれます。狙われる穴は同じでも、利用者側には更新という打ち手がすでにあるため、守る側の仕事は「当てる速さ」に変わります。
この2つは地続きです。ゼロデイとして使われた脆弱性は、修正が出た瞬間に手口が公開情報になり、翌日からはNデイ攻撃の素材になります。更新が遅れた組織のほうが、むしろ長く狙われます。
ゼロトラスト実装の現実
ゼロトラストの理想と現実のギャップを分析。段階的な実装アプローチと、ID管理・デバイス管理から始める現実的なロードマップを提示します。
2025年に悪用が確認されたゼロデイは90件。狙われているのは境界の機器
Google の脅威インテリジェンス部門（GTIG）の集計では、2025年に実際の悪用が確認されたゼロデイ脆弱性は90件でした。2024年の78件から増えています。
内訳に、守る側が知っておくべき偏りがあります。
| 区分 | 2025年の件数 |
|---|---|
| 全体 | 90件 |
| 企業向け製品 | 43件（全体の48%。件数・割合とも過去最高） |
| うちセキュリティ製品・ネットワーク製品 | 21件 |
| うちエッジ機器 | 14件 |
| エンドユーザー向け製品 | 47件（52%） |
| OS（製品カテゴリとして最多） | 39件 |
| モバイル | 15件 |
企業向け製品の割合が過去最高という点と、その半分がセキュリティ製品とネットワーク機器だという点が効いています。ファイアウォール、VPN 装置、リモートアクセス機器。社外との境界に置かれ、外から常に見えていて、しかも端末の監視ソフト（EDR）を載せられない機械です。GTIG はエッジ機器について、EDR が載らないことが多く検知が難しいため、実際の件数はこれより多い可能性があると注記しています。
つまり、企業向け製品のゼロデイが狙う先は、自社でもっとも観測しにくい場所です。端末を厚く守る発想のままだと、入口の機器だけが裸で残ります。
残りの52%は、利用者が使う製品です。OS が39件で製品カテゴリとして最多、モバイルが15件あり、ブラウザも含まれます。こちらは利用者が開いたファイルやページ、受け取ったメッセージから踏まれる経路で、外向きのサービスを公開していない組織にも成立します。入口は「外から届くサービス」と「利用者が開くもの」の2系統だと考えてください。
ゼロデイ攻撃の事例：パッチだけでは終わらなかった3件
最近の3件を、攻撃の派手さではなく「更新した後に何が残ったか」で並べます。
SharePointの「ToolShell」（2025年7月）— 鍵を盗まれると更新後も入られる
オンプレミスの SharePoint Server を狙った攻撃です。Microsoft 365 の SharePoint Online は影響を受けていません。Microsoft の分析では、早ければ2025年7月7日から悪用が始まっていました。
攻撃者は ToolPane というエンドポイントに細工したリクエストを送り、spinstall0.aspx という小さなプログラム（Web シェル）を置きます。その中身は、ASP.NET の MachineKey という暗号鍵を読み出して外に送るものでした。鍵を手に入れた攻撃者は、正規の署名付きリクエストを自分で作れます。更新を当てても、盗まれた鍵が有効なままなら入り直せるという状態です。
このため Microsoft の案内は、更新の適用だけで終わっていません。マルウェア検査の仕組み（AMSI）を全面有効にして Defender Antivirus を全サーバーに入れること、そして MachineKey を入れ替えて IIS を再起動することを求めています。7月18日には、この穴からランサムウェアを展開する攻撃者（Storm-2603）も現れました。
Cisco ASA / FTD（2025年9月）—「適用済み」が実際には適用できていなかった
Cisco は2025年9月25日、ASA と FTD の VPN 用 Web サーバーにある2件の脆弱性について、悪用を把握していることを明らかにしました。CVE-2025-20333 は認証済みの攻撃者による遠隔コード実行で、深刻度は10段階中9.9。CVE-2025-20362 は認証なしで本来は認証が要る URL に到達できるもので、深刻度6.7です。弱いほうの穴で入り口を開け、強いほうで乗っ取る組み合わせになります。
注目したいのは、その後です。米国の CISA は同日に緊急指令 ED 25-03 を出して政府機関に即時対応を命じましたが、2025年11月12日に更新した実施ガイダンスで、報告書上は「適用済み」とされた機器の中に、修正されていないバージョンへ更新されていたものがあったと指摘しています。当てたつもりで当たっていない状態は、当てていない状態と同じです。日本では JPCERT/CC が9月26日に注意喚起を出しました。
PHP2Shell（2026年10月）— 公開の4日前から攻撃が始まっていた
直近の例が、PHP 本体に見つかった2件の重大な脆弱性です。詳しくはPHP2Shellの記事にまとめましたが、修正版が公開された2026年10月21日より前、10月17日の時点で実際の攻撃が観測されています。公表と同時に身構えても、すでに数日分の遅れを負っていたことになります。
ゼロデイ攻撃の対策：修正が無い期間にやること
この期間にできるのは、攻撃の成立確率と、成立したときの被害範囲を下げる作業だけです。順に挙げます。
外から届くものと、利用者が開くものを数える
数える対象は2系統あります。優先するのは、インターネットから届く場所です。VPN 装置、リモートデスクトップ、ファイル共有、公開 Web サーバー、ベンダーに任せた受託システム、機器の管理画面。外から常に見えていて、未認証で踏まれる危険があるためです。どれが外から見えていて、どのバージョンで動いているかを一覧にします。
もう一方は、利用者が攻撃者の作ったデータを開くソフトです。ブラウザ、メールソフト、PDF や Office のビューア、メッセージアプリ、端末の OS。外向きのサービスが無い組織でも、ここから踏まれます。製品名とバージョンを台帳に入れ、更新をデバイス管理で配るのか利用者に任せているのかまで把握しておきます。
この一覧が無い組織は、緊急時に「自社は影響を受けるのか」の判断から始めることになり、そこで数日を失います。使っている部品の棚卸しにはソフトウェア部品表（SBOM）が使えます。外から見えなくてよいものを止めるのが、もっとも安く効く対策です。
検知の仕掛けを、機器の性質に合わせて置く
ゼロデイは、既知の攻撃パターンとの照合では見つかりません。頼れるのは振る舞いの異常です。端末とサーバーには EDR を入れて、見慣れない子プロセスの起動や認証情報へのアクセスを捉えます。
EDR を載せられない境界機器では、別の線で見ます。管理画面への見慣れない認証、設定ファイルの更新時刻、外向きの不審な通信、機器のログの欠落。ToolShell の例では、設置された Web シェルのファイル名が手がかりになりました。機器のログを手元に集めておくと、後から振り返れます。
入られた後に動けない形にしておく
侵入の一撃を止められない前提で、横移動と権限奪取を難しくします。業務ごとにネットワークを分ける、管理者権限を常時持たせない、サービスアカウントの権限を用途ぶんだけに絞る、管理者のログインに多要素認証を必須にする、バックアップを本番から切り離して保つ。いずれも、ゼロデイのときに効き方がもっともはっきり出る、ふだんの備えです。
情報が最初に届く場所を決めておく
脆弱性の一次情報は、見る場所を決めておかないと流れていきます。国内では IPA の「重要なセキュリティ情報」と JPCERT/CC の「注意喚起」、海外では米国 CISA が悪用を確認した脆弱性を載せるカタログ（KEV）が実務的です。製品ベンダーの通知メールは部門のメールアドレスで受け、担当者が休んでいても届く形にします。
修正が出た後にやること：当て切る、確かめる、鍵を替える
修正公開から数日が、守る側にとって一番忙しい時間帯です。攻撃者はこのタイミングで手口を手に入れ、未更新の組織を探し始めます。
48時間で当て切るための段取りを平時に用意する
緊急の適用が遅れる理由は、技術ではなく段取りです。誰が判断し、誰が止め、いつ再起動するかが決まっていないと、承認待ちで数日が過ぎます。
- 外から見えているシステムを最優先、社内のみのシステムを次、という優先順位を先に決めておく
- 業務時間外に再起動できる時間枠を、あらかじめ確保しておく
- 端末の OS 更新は、利用者の判断に任せず、デバイス管理（MDM）で期限を切って適用する
- ベンダー任せのシステムは、連絡先と対応時間を契約の時点で確かめておく
当てた後に確かめる
Cisco の例が示したとおり、報告と実態はずれます。適用後は、実際に動いているバージョンを機器側で確認します。Web サーバー経由とコマンドラインで別のバージョンが動いている構成もあるため、実際にリクエストを処理している側を見ます。
そして、修正前に侵入されていた可能性を点検します。更新は穴を塞ぎますが、すでに置かれた Web シェル、作られたアカウント、盗まれた鍵や認証情報は残ります。ToolShell で MachineKey の入れ替えが必要だったように、漏れた可能性のある鍵・パスワード・API キーは入れ替えが前提です。
侵害を前提に被害を抑える：ID・権限・端末の管理
ゼロデイを塞ぐ製品はありません。守る側が選べるのは、入られたときに相手ができることを減らしておくことです。
LOCKED は、この「入られた後」を薄くする部分を担います。LOCKED DAS は各 SaaS のアカウントと権限を一覧にし、退職者の残存アカウントや過剰な権限を棚卸しします。LOCKED MSO はログインを一箇所に集め、管理者に多要素認証を必須にします。LOCKED MDM は端末の OS 更新を期限付きで適用し、更新されていない端末を把握できる状態にします。LOCKED ATP は、侵入の入口になりやすいメールへの対応力を訓練で底上げします。
ゼロデイを前提にした権限の棚卸しについて、無料で個別にご相談いただけます。 デモ・個別相談を申し込む →
ゼロデイ攻撃を受けたと分かったときの手順
実際に踏まれたとき、最初の数時間の動き方で被害の範囲が変わります。
- 切り離す — 該当の機器やサーバーをネットワークから外します。電源は落とさず、メモリ上の証跡を残します
- 記録する — 気づいた時刻、見つけた痕跡、実施した操作を時刻つきで残します。後の調査と報告の土台になります
- 報告する — 社内のセキュリティ担当と経営層に上げます。判断を現場で抱えないことが要点です
- 調べる — 侵入経路、横移動の有無、持ち出されたデータを確認します。自社だけで追えない場合は外部の調査会社に依頼します
- 届ける — 個人データが漏れた、あるいは漏れたおそれがあるときは、個人情報保護法第26条にもとづく個人情報保護委員会への報告が必要です
この流れを事前に文書化し、連絡先と判断基準を埋めておく作業については、インシデント対応の記事で扱っています。
まとめ：ゼロデイ攻撃の対策は「修正前」と「修正後」で分けて準備する
ゼロデイ攻撃は、技術で完全に止められる相手ではありません。それでも、やることは具体的です。
- 数える — 外から見えているシステムと、利用者が開くソフトのバージョンを一覧にする
- 削る — 外に出す必要のないものを止め、常時の管理者権限をなくす
- 見る — 端末には EDR、境界機器にはログと通信の監視を置く
- 当て切る — 優先順位と再起動の枠を決め、MDM で端末の更新に期限を設ける
- 確かめる — 適用後に実バージョンを確認し、鍵と認証情報を入れ替える
2025年のゼロデイは、48%が企業向け製品、52%が利用者の使う製品に分かれました。企業向けの約半分がセキュリティ製品とネットワーク機器だったという内訳は、守り方の重心をずらす材料になります。端末の中だけを見ている体制なら、外から見えているものを数えるところから始めてください。
LOCKEDの詳細を見る アカウントと権限の棚卸し、管理者の多要素認証、端末のOS更新まで、侵入後の被害を抑える部分をまとめてご相談いただけます。 資料請求・デモ依頼はこちら →
参考資料
- Google Cloud（Google Threat Intelligence Group）：脆弱性の状況 2025年のゼロデイを振り返る
- Microsoft Security Blog：Disrupting active exploitation of on-premises SharePoint vulnerabilities
- IPA（情報処理推進機構）：重要なセキュリティ情報
- JPCERT/CC：注意喚起
- 個人情報保護委員会：個人情報の保護に関する法律についてのガイドライン（通則編）