ゼロデイ脆弱性とは?「修正が出る前に悪用される」仕組みと、個人・職場でできる備え

結論: ゼロデイ脆弱性とは、開発元が修正プログラムを用意する前に、すでに悪用されている(または悪用できる)ソフトの弱点のことです。個人が、ゼロデイそのものを防ぐのは難しいのですが、被害の多くは、「修正済みなのに、更新していない」ことから起きます。ニュースで「悪用が確認されている」と書かれた更新は、優先して適用してください。

ゼロデイとは、「対策までの猶予が0日」という意味

脆弱性とは、ソフトやシステムにある、設計や作りの弱点のことです。普通は、研究者や開発元が弱点を見つけ、修正プログラムを用意してから、公表します。

ところが、攻撃者が先に弱点を見つけて悪用を始めると、開発元は、対策を用意する猶予がない(0日)状態になります。これが、ゼロデイ脆弱性、そして、それを使った攻撃がゼロデイ攻撃です。

ニュースの読み方:「悪用が確認されている」に注目

Windowsの月例更新やブラウザの更新が報じられる時、脆弱性の件数が目立ちます。2026年10月のWindows Updateは、1000件を超える規模だったと報じられました(詳しくは、Windows 11 24H2の更新が終了で解説しています)。

ただ、件数が多いかどうかより、次の表現に注目してください。

深刻度と実際の悪用は、別の情報です。両方を見ると、優先順位が付けやすくなります。Chromeの重大な脆弱性の例は、Google Chromeに「重大」な脆弱性で解説しています。

「CVE」とは

ニュースや公式情報で、「CVE-2026-xxxxx」という表記を見かけます。CVEは、脆弱性を識別するための共通の番号です。報道や、各社の公式情報で、同じ脆弱性を指しているかを確認する時に使います。

ゼロデイ攻撃の、おおまかな流れ

ゼロデイ攻撃は、次のような順番で進みます。

1. 攻撃者や研究者が、ソフトの弱点を見つける
2. 弱点を使った攻撃が、先に始まる(開発元は、まだ知らない場合もある)
3. 開発元が、攻撃や報告を知り、調査する
4. 回避策や、修正プログラムが公開される
5. 利用者が更新を適用して、初めて安全な状態に戻る

利用者が危険にさらされるのは、2から5までの間です。この間を短くするためには、4が公開された時に、すぐ5を実行できる状態を作っておくことが、いちばん現実的です。

「ゼロデイ」と「既知の脆弱性」を混同しない

ニュースの見出しで「ゼロデイ」と書かれていても、更新が公開されていれば、すでに対策できる状態です。反対に、更新が未公開の場合は、公式が案内する回避策(特定の機能を無効にする、など)を確認します。

非公式な情報や、SNSの断片的な書き込みで、慌てて設定を変えないようにしてください。公式の発表に従うのが、いちばん安全です。

個人が防ぎやすいのは、「修正済みの脆弱性」

ゼロデイは、見つかってから対策が出るまでの、短い期間の問題です。一方で、被害の多くは、すでに修正プログラムが出ているのに、更新していないために起きる、といわれます。

つまり、個人にとって現実的な備えは、**「修正が出たら、すぐに適用できる状態にしておく」**ことです。更新を後回しにしにくい理由は、Windowsアップデートが「3日以内」の時代に?でも整理しています。

個人でできる備え

1. 自動更新をオンにする:OS(Windows・iPhone・Mac・Android)とブラウザ
2. 再起動する:更新は、再起動して初めて完了するものがあります
3. 使わないソフト・拡張機能を減らす:弱点の入口を減らします
4. 怪しいファイル・リンクを開かない:攻撃の多くは、メールやWebから始まります(フィッシング詐欺とは?)
5. サポートが終わったOS・ソフトを使い続けない:修正が届かなくなります
6. バックアップを取っておく:万一の被害から、戻せる状態にします(3-2-1バックアップとは)
7. セキュリティソフトを併用する:完全ではありませんが、防御の層が増えます

職場・小さな会社でできる備え

古い機器や、更新できない機器を使い続けている場合は、特に注意が必要です。更新できない=守れないという前提で、ネットワークから切り離す、置き換えを計画する、といった対応を検討してください。

ニュースで慌てないための考え方

• 件数や見出しに、振り回されない:自分が使っているソフトが、対象かを確認する
• 「悪用が確認」に注目する:優先順位を決める基準になる
• 公式の情報を見る:ベンダー(開発元)の発表が、最も確実
• 更新後は、再起動と、動作確認を行う

関連する事案の例として、PHPの脆弱性や、eMudhra証明書の侵害も、あわせてご覧ください。

まとめ

• ゼロデイ脆弱性は、修正が出る前に悪用される弱点
• 個人が防ぎやすいのは、修正済みの脆弱性。自動更新と再起動が基本
• ニュースでは、**「悪用が確認されている」**更新を優先する
• 備えは、更新・使わないものを減らす・バックアップ・怪しいものを開かない

関連記事:マルウェアとウイルスの違い、ランサムウェアとは?、サプライチェーン攻撃とは?

関連記事:脆弱性とは?、CVSSとは?