ZERO-DAY ATTACK ・ IPA 10大脅威 2026［組織］4位 脆弱性を悪用した攻撃
root@se-curity:~/hacking$ cat ./zero-day.md
ゼロデイ攻撃とは？しくみ・被害・発表されたら・対策
ソフトの穴を直す更新が出る前に、
その穴を突いて入り込む攻撃です。
> ZERO-DAY ATTACK の数字
4位
IPA 10大脅威 2026［組織］「システムの脆弱性を悪用した攻撃」
- 6年連続10大脅威に選ばれた回数（9回目）
- 18/36件ランサムウェアの侵入経路がVPN機器（2026年1〜6月、警察庁）
ゼロデイ攻撃とは？
ひとことで言うと
カギ屋さんより先に泥棒が穴を見つける
ソフトの穴は、ふつうはメーカーが見つけて直します。ゼロデイ攻撃は、直す更新がまだ無いうちに攻撃者が穴を使います。
Zero-day直す日数がゼロ／ゼロデイ脆弱性まだ直っていない穴
3コマでわかる
- 1穴を先に見つける
メーカーもまだ知らない穴を、攻撃者が見つけます。
- 2更新の前に入る
直す方法がまだ無いので、最新版でも入られます。
- 3気づかれずに潜む
正規のツールを使って、長い期間ひそむこともあります。
VPN機器など外に開いた機器が狙われやすい
多くの会社が使う製品ほど狙われる
更新だけでは防げず、見張りが要る
どうやって被害にあう？
- STEP 1穴が見つかる攻撃者が先に見つける
- STEP 2更新前に入る直す方法がまだ無い
- STEP 3メーカーが発表回避策・更新が出る
- STEP 4すぐ狙われる更新していない所を機械で探す
警察庁は、ゼロデイ脆弱性や、もともと入っている正規のツールを悪用して、長い期間入り込んで潜む手口が見られると説明しています。
数字で見る
出典：IPA「情報セキュリティ10大脅威 2026」／警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
被害にあったら、最初にやること
- 1影響があるか確かめる
メーカーや JVN（脆弱性の公式データベース）の発表で、自社の製品とバージョンが当てはまるか確かめます。
- 2回避策をすぐ入れる
更新がまだなら、メーカーが示す回避策（機能を止める、外からの接続を絞るなど）を入れます。
- 3更新が出たらすぐ入れる
直す更新が出たら、後回しにせずに入れます。
- 4入られていないか調べる
メーカーが示す確かめ方で、入られた跡がないか調べます。怪しければ専門の会社へ。
- 5必要なら止める・報告する
入られた疑いがあれば機器をネットから切り離し、警察に相談します。個人情報が漏れたおそれがあれば個人情報保護委員会へ報告を。
更新を入れても、その前に入られていれば裏口は残ります。更新と一緒に、入られた跡の確認を。
被害にあったときの手順をくわしく →いまからできる備え
対策のサービスを比べる
よくある質問
ゼロデイ攻撃とは？
ソフトの穴が見つかってから、直す更新が出るまでの間に、その穴を突く攻撃です。直す日数が「ゼロ」なのでこう呼びます。
ふつうの脆弱性の攻撃と何が違いますか？
ふつうは更新を入れれば防げますが、ゼロデイ攻撃は更新がまだ無いので、最新版でも狙われます。
更新が無いなら、何もできないのですか？
できることはあります。メーカーが示す回避策を入れる、外に開いた入口を減らす、EDRや見張りで入られたことに早く気づく、などです。
どこで発表を知れますか？
メーカーの発表のほか、JVN（日本の脆弱性の公式データベース）や IPA の「重要なセキュリティ情報」で確かめられます。
小さな会社も狙われますか？
狙われます。多くの会社が使う製品の穴は、会社の大きさに関係なく機械で探されます。
ほかのハッキングの種類