Vad är en noll-dagars sårbarhet?

En noll-dagars sårbarhet är en säkerhetsbrist i mjukvara som leverantören eller utvecklaren just har upptäckt, så de har inte haft någon tid att skapa eller släppa en patch. Eftersom det ännu inte finns någon lösning kan cyberkriminella utnyttja dessa brister för att genomföra attacker som är svåra att upptäcka och stoppa.

Till exempel visade WannaCry ransomware-attacken i maj 2017 hur skadliga noll-dagars sårbarheter kan vara. Denna världsomspännande attack drabbade mer än 200,000 datorer i 150 länder genom att utnyttja en Windows-brist innan många organisationer kunde uppdatera sina system.

Nyckelkarakteristika för en noll-dag

• Okänd för leverantören: Mjukvaruskaparen är omedveten om att bristen existerar tills en attack inträffar eller den avslöjas av forskare.
• Ingen tillgänglig patch: Det finns ingen officiell säkerhetsuppdatering eller “fix” vid upptäckten.
• Hög risk: Vanliga antivirusverktyg som använder kända hot-signaturer missar ofta noll-dagars utnyttjanden eftersom dessa hot är nya och okända.
• Omedelbart hot: Angripare har en klar fördel tills en patch släpps och tillämpas.

Hur en noll-dagars attack fungerar

Ett noll-dagars hot följer vanligtvis en tidslinje som kallas ‘Sårbarhetsfönstret.’

1. Sårbarhet Introducerad: En utvecklare skriver oavsiktligt kod som innehåller en säkerhetsbrist (t.ex. en buffertöverskridning eller SQL-injektions lucka).
2. Exploit Skapad: En angripare hittar bristen innan leverantören eller säkerhetsforskare märker den. De skapar sedan en ‘Zero Day Exploit’, vilket är kod gjord för att utnyttja denna svaghet.
3. Attack Utförd: Angriparen använder en ‘Zero Day Attack’ på vissa mål eller till och med över internet. Vid denna tidpunkt kan standard säkerhetsskanningar ofta inte se attacken.
4. Upptäckt & Avslöjande: Leverantören får så småningom kännedom om bristen, antingen genom ett belöningsprogram, en säkerhetsforskare, eller genom att upptäcka en aktiv attack.
5. Patch Släppt: Leverantören utvecklar och distribuerar en säkerhetsuppdatering. När patchen är tillgänglig är bristen inte längre en “zero day” utan blir en “känd sårbarhet” (ofta tilldelad ett CVE-nummer).

Varför Zero-Day Sårbarheter Är Viktiga i Cybersäkerhet

Zero-day sårbarheter är bland de allvarligaste riskerna för organisationer eftersom de kringgår det huvudsakliga försvaret, vilket är patchhantering.

• Förbikoppling av försvar: Eftersom äldre säkerhetsverktyg förlitar sig på kända hotdatabaser kan noll-dagarsattacker smyga sig igenom brandväggar och slutpunktsskydd obemärkt.
• Högt värde: Dessa exploateringar är mycket värdefulla på den mörka webben. Statliga hackare och avancerade ihållande hot (APT) grupper behåller dem ofta för att använda mot viktiga mål som kritisk infrastruktur eller statliga nätverk.
• Operativ påverkan: Att åtgärda en noll-dagars sårbarhet innebär ofta nöddriftstopp, användning av manuella lösningar eller till och med att ta system offline tills en patch är redo.

Noll-dagars vs. Kända sårbarheter

Funktion	Noll-dagars sårbarhet	Känd sårbarhet (N-dag)
Status	Okänd för leverantör/allmänhet	Offentligt avslöjad
Patchtillgänglighet	Ingen	Patch finns (men kanske inte tillämpad)
Detektion	Svår (kräver beteendeanalys)	Enkel (signaturbaserad detektion)
Risknivå	Kritisk / Allvarlig	Variabel (beror på patchstatus)

Relaterade termer

• Exploit Prediction Scoring System (EPSS)
• Common Vulnerabilities and Exposures (CVE)
• Statisk applikationssäkerhetstestning (SAST)
• Dynamisk applikationssäkerhetstestning (DAST)

FAQ: Noll-dagars sårbarhet

F: Vad är skillnaden mellan en zero-day sårbarhet och en zero-day exploit?

Sårbarheten är en brist i själva programvarukoden. Exploiten är den faktiska koden eller tekniken som angripare använder för att utnyttja en brist och bryta sig in i ett system.

F: Hur kan jag skydda mig mot zero-day attacker om det inte finns någon patch?

Eftersom du inte kan patcha det du inte känner till, beror skyddet på att använda flera lager av försvar:

• Använd Web Application Firewalls (WAF) för att blockera misstänkta trafikmönster.
• Implementera Runtime Application Self-Protection (RASP).
• Använd beteendeanalys istället för enbart signaturbaserad detektering.
• Upprätthåll en strikt incidentresponsplan för att reagera snabbt när en zero-day avslöjas.

F: Kan antivirusprogram upptäcka zero-day attacker?

Traditionella antivirusprogram som endast använder ‘signaturer’ (som är som fingeravtryck av känd malware) kan inte hitta zero-day hot. Däremot kan moderna Endpoint Detection and Response (EDR) verktyg som använder AI och övervakar ovanligt beteende ofta upptäcka zero-day attacker, såsom oväntad filkryptering eller obehöriga dataöverföringar.