ゼロデイ攻撃
まだ知られていない
脆弱性を突く攻撃です（英語では zero-day attack）。製品の開発者が脆弱性を知らないので、修正（パッチ）も無く、「修正を当てる」という基本の守りが使えません。
定義
NIST の用語集は、CNSSI 4009-2022 などの定義として、ゼロデイ攻撃を「以前に知られていなかった、ハードウェア、ファームウェア、ソフトウェアの脆弱性を突く攻撃」としています。
守りの考え方
修正が無い間は、
悪用されにくくする、
悪用されても被害を広げない、
早く気づくの3つで守ります。
MITRE ATT&CK（攻撃者の手口を整理した公開の知識ベース）は、内部のサービスの脆弱性を突く手口（T1210）と、Web の閲覧で端末を侵害する手口（T1189）への緩和策として、次のものを挙げています。M で始まる番号は ATT&CK の対策の番号です。
| 手段 |
内容 |
どの技術の緩和策か |
| 隔離（サンドボックス） |
プログラムを、ほかの部分から切り離した囲いの中で動かす。まだ見つかっていない、または修正されていない脆弱性を突かれても、攻撃を先に進めにくくする。ただし、サンドボックス自体の弱点が残ることもある（M1048） |
T1210・T1189 |
| 悪用の防止の機能 |
悪用のときに見られる振る舞いを見張る機能や、プログラムが本来の順番どおりに動いているかを確かめる仕組み（制御の流れの整合性の検査）で、悪用の一部を止められることがある。ただし、CPU の種類（アーキテクチャ）や対象のプログラムによって使えないこともある（M1050） |
T1210・T1189 |
| 機能を減らす |
使っていないサービスや機能を止め、狙われる範囲を減らす（M1042） |
T1210 |
| ネットワークを分ける |
重要なシステムやサービスへのアクセスを、管理された経路に限る（M1030。ネットワークセグメンテーション） |
T1210 |
| 権限を絞る |
サービスのアカウントの権限を絞り、悪用されたときの影響を小さくする（M1026。最小権限の原則） |
T1210 |
これらに加えて、悪用の後の不審な動きに気づく仕組みと、起きたときの対応の手順を用意します（
検知、
対応）。
知られた後
脆弱性が公表されても、修正が出るまでの間は、上の守りの考え方が続きます。この間は、製品の提供者が示す回避策（ワークアラウンド）が主な手段になります。米国の CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、修正が出たら回避策から移るのが望ましいとしつつ、脆弱なまま放置するより回避策を使うことを勧めています。
修正が出た後は、修正を早く当てることが守りの中心になります。CISA は、実際に悪用された脆弱性の一覧（KEV）を管理し、すべての組織に、一覧の脆弱性の修正を優先するよう強く勧めています（
脆弱性管理）。
脆弱性を見つけたら
日本では、ソフトウェア製品やウェブサイトの脆弱性を見つけた人が、情報処理推進機構（IPA）に届け出る仕組み（情報セキュリティ早期警戒パートナーシップ）があります。
- ソフトウェア製品：JPCERT コーディネーションセンター（JPCERT/CC）が製品の開発者に連絡して公表の日を調整し、対策の情報は JVN で公表される
- ウェブサイト：IPA がウェブサイトの運営者に連絡して対応を依頼する。統計を公表するときも、届け出のあったウェブサイトが分かる情報は公表しない
ただし、IPA は、ウェブサイトについて必要以上に調べると、運営者とのトラブルになったり、不正アクセス禁止法などに触れたりするおそれがあると注意しています（
不正アクセス禁止法）。他人のシステムを許可なく試すことはせず、気づいた範囲で届け出ます。
関連するページ
出典
確認日：2026年10月17日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（
Terms of Use）
最終更新：2026年10月17日 09:11
