Una vulnerabilità zero-day è una falla di sicurezza che il vendor del software non conosce ancora, o conosce ma per cui non ha ancora rilasciato una patch. Il nome viene dal fatto che i difensori hanno "zero giorni" di vantaggio per proteggersi.
Sono la categoria di vulnerabilità più pericolosa in assoluto, e comprendere come funzionano è il primo passo per ridurre l'esposizione.
Il ciclo di vita di uno zero-day
Una vulnerabilità zero-day segue un percorso preciso prima di diventare pubblica:
- Scoperta: un ricercatore (o un attaccante) identifica la falla
- Sfruttamento silenzioso: se nelle mani di attaccanti, viene usata per settimane o mesi senza che il vendor sappia nulla
- Disclosure (o leak): la vulnerabilità diventa nota, attraverso disclosure responsabile, pubblicazione da parte di un threat actor, o leak da mercati underground
- Patch race: il vendor rilascia una patch, ma nel frattempo tutti sanno come sfruttare la vulnerabilità
- Exploitation massiva: nelle ore e giorni successivi alla disclosure pubblica, i tentativi di sfruttamento si moltiplicano esponenzialmente
Perché sono così pericolose
La risposta intuitiva ("perché non esiste una patch") è corretta ma incompleta. La vera pericolosità degli zero-day deriva da quattro fattori combinati:
- Nessuna difesa perimetrale specifica: IDS, IPS e WAF non possono bloccare ciò che non conoscono
- Falsa sensazione di sicurezza: l'organizzazione crede di essere aggiornata e protetta
- Effetto sorpresa: senza indicatori di compromissione noti, il rilevamento è molto più difficile
- Propagazione rapida: una volta pubblicata, la vulnerabilità è immediatamente disponibile a chiunque
Esempi recenti ad alto impatto
Log4Shell (CVE-2021-44228): forse la vulnerabilità più grave degli ultimi dieci anni. Una falla nel framework di logging Java Log4j, presente in milioni di applicazioni (da Apple iCloud ad Amazon AWS). Sfruttabile con una singola riga di testo in qualsiasi input dell'applicazione.
ProxyLogon / ProxyShell (2021): serie di vulnerabilità nei server Microsoft Exchange che hanno permesso l'esecuzione di codice remoto senza autenticazione. Migliaia di organizzazioni italiane hanno subito intrusioni nelle settimane successive alla disclosure.
MOVEit Transfer (2023): SQL injection in un software di trasferimento file enterprise usato da centinaia di aziende e pubbliche amministrazioni. Il gruppo Cl0p ha esfiltrato dati da oltre 1.000 organizzazioni.
Strategie di protezione efficaci
Non puoi correggere ciò che non sai che esiste. Ma puoi costruire difese che limitino drasticamente il danno quando uno zero-day viene sfruttato contro di te.
Difesa a strati (Defense in Depth)
Nessun singolo controllo è sufficiente. La stratificazione dei controlli garantisce che la compromissione di un livello non equivalga alla compromissione totale dell'organizzazione. Firewall, EDR, segmentazione di rete, privilegio minimo: ogni strato riduce il blast radius di un potenziale attacco.
Threat Intelligence operativa
Essere informati prima che una vulnerabilità diventi pubblica, o nelle prime ore dalla disclosure, può fare la differenza tra contenimento e disastro. I feed di threat intelligence di qualità includono indicatori di sfruttamento attivo, non solo CVE numeri.
Rilevamento comportamentale, non solo basato su firme
Uno zero-day per definizione non ha una firma conosciuta. Le soluzioni EDR e XDR moderne rilevano comportamenti anomali (privilege escalation insolita, connessioni verso C2 non categorizzati, dump di credenziali) indipendentemente dalla firma specifica del malware.
Patch management con SLA definiti
Quando la patch viene rilasciata, la finestra di opportunità per gli attaccanti si chiude, ma solo se la applichi immediatamente. Definire SLA di patching per criticità (es. critical: 24h, high: 72h, medium: 7 giorni) è uno dei controlli più impattanti che un'organizzazione possa implementare.
Superficie di attacco minima
Meno software esposto significa meno vulnerabilità potenziali. Review regolare delle applicazioni installate, porte esposte, servizi attivi. Ogni componente non necessario è una superficie di attacco inutile.
Il ruolo della threat intelligence proattiva
Le organizzazioni più resilienti non aspettano che una vulnerabilità diventi pubblica: monitorano attivamente i forum underground, le mailing list di sicurezza, i bollettini dei vendor e i feed di threat intelligence per intercettare i segnali deboli prima che diventino crisi.
Il nostro servizio di Threat Intelligence monitora continuamente questi segnali per i nostri clienti, fornendo alert operativi entro ore dalla disclosure di vulnerabilità critiche. Scopri come funziona.