修正がまだ無い弱点を突く攻撃をゼロデイ攻撃と呼びます。ふだんの脆弱性なら「更新（パッチ）を当てれば塞がる」のに、ゼロデイは当てる更新がまだ存在しません。この記事は、技術の中身ではなく「受けると何が起きるか」「だから何が危険か」「非エンジニアや組織が今できることは何か」を、たとえと図で整理します。攻撃のやり方・手順は書きません。
NO PATCH YETふだんの脆弱性との違い
ゼロデイは修正がまだ無い弱点を突かれる
ふだんの脆弱性
修正が先にある
- 提供元が直す更新を公開
- 当てれば弱点が塞がる
- 攻撃より先に守れる
ゼロデイ
修正がまだ無い
- 弱点が先に悪用される
- 当てる更新がまだ出ていない
- 守りが間に合わない時間がある
30秒でわかるゼロデイ攻撃
- ・何が違う：ふだんの弱点は修正が先にある。ゼロデイは修正がまだ無い状態を突かれる
- ・受けるとどうなる：情報の窃取・改ざん・身代金・踏み台の4つの被害
- ・誰の問題か：止まる・漏れる・賠償につながる事業の問題で、技術者任せにできない
- ・今できること：修正を最優先で当てる／バックアップ／公開範囲を狭める／相談先を決める
依存する部品から入ってくる攻撃も含めたセキュリティ全体の地図はサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめています。本記事はその入口として、ゼロデイ1つに絞って平易に解説します。
ゼロデイ攻撃とは｜修正がまだ無い弱点を突かれる
まず言葉を整理します。脆弱性とは、ソフトに残った「守りの穴」です。サイバー攻撃は、その穴を突いて情報や操作を奪おうとする行為全般を指します。ふつうは、提供元が穴を見つけて修正を公開し、利用者がそれを当てて塞ぎます。守りが先、攻撃が後です。
ゼロデイはこの順番が逆になります。修正がまだ無いうちに穴が悪用されるため、提供元が修正を出すまで「当てる物がない」時間が生まれます。この時間こそが危険です。家にたとえるなら、鍵のかからない裏口が見つかっているのに、まだ合う鍵が売っていない状態です。「ゼロデイ」という名前も、修正が公開されてから守りを固めるまでの猶予が「ゼロ日」、つまり備える時間が無いことに由来します。
・ゼロデイ脆弱性：修正がまだ無い穴そのもの
・ゼロデイ攻撃：その穴を、修正が出る前に突く攻撃
・Nデイ：修正は出たのに、当てていないので突かれる状態（別物だが被害は同じ）
多くの被害は、じつは修正が出たあとに「当てていなかった」ことで起きます。ゼロデイは数が少なく派手ですが、日々の更新を当て続けることこそが守りの中心だと押さえてください。
なぜ「修正がまだ無い」時間が生まれるのか
弱点は、提供元が気づく前に攻撃者が先に見つけることがあります。その場合、提供元は「穴があること」を知らされてから、原因を調べ、直し、安全を確かめて、ようやく修正版を公開します。この工程には、どうしても一定の時間が必要です。
・見つかる：研究者や攻撃者が穴に気づく（どちらが先に気づくかで深刻さが変わる）
・直す：提供元が原因を調べ、修正を作る
・配る：修正版を公開し、利用者が当てる
攻撃者が先に見つけて悪用し始めると、「直す」「配る」が追いつくまでの間が無防備になります。これがゼロデイの危険な時間です。利用者側でこの時間を縮める方法は限られるため、出たらすぐ当てられる段取りと、入られても被害を小さくする備えの両方が要ります。
いま進行中の実例
2026年10月21日時点で、PHP という広く使われる言語の本体に重大な弱点が2件（CVE-2026-109618・109619、通称 php2shell と報じられています）見つかり、修正版の公開前にセキュリティ企業が実環境での悪用を報告しています。修正版は日本時間の同日23時公開予定と事前告知されました。これはまさに「修正がまだ無いうちに突かれる」ゼロデイの形です。非エンジニアがいま確認できるのは、自社サイトの保守先に「修正版の公開予定と、出たらいつ当てるか」を問い合わせておくことです。事実関係と準備の手順はPHP 脆弱性 CVE-2026-109618・109619にまとめています。
受けると何が起きるか｜4つの被害
「サイバー攻撃を受けるとどうなるのか」を、代表的な4つの被害で押さえます。どれも事業そのものを止めうるものです。
WHAT HAPPENS受けると起きること
被害は大きく4つに分かれる
-
情報を盗まれる
顧客データや認証情報が外へ出る
-
書き換えられる
サイトや記録を改ざんされる
-
人質に取られる
暗号化され身代金を要求される
-
踏み台にされる
別の相手への攻撃に悪用される
・情報を盗まれる：顧客の個人情報やログイン情報が外へ流出する。賠償や報告義務、信用の低下につながる
・書き換えられる：サイトや社内の記録を改ざんされる。偽の案内で来訪者を別の罠へ誘導されることもある
・人質に取られる：データを暗号化され、元に戻すことと引き換えに金銭を要求される（ランサムウェア）。業務が止まる
・踏み台にされる：乗っ取った機器を使って、取引先など別の相手を攻撃される。加害側として巻き込まれる
影響を受けるのは、その弱点のある製品を使っているすべての組織です。自社で直接導入していなくても、利用しているサービスの裏側でその製品が動いていれば巻き込まれます。「うちは関係ない」と思っても、何がどこで使われているかを把握していなければ、受けていることにさえ気づけません。
とくに重いのが、遠隔から機器を自由に操作されてしまう状態です。これをRCE（遠隔でコードを実行される、Remote Code Execution）と呼びます。RCE が起きると、上の4つの被害はほぼ何でも起こせてしまう、いわばサーバーの乗っ取りです。ゼロデイで特に警戒されるのは、この RCE につながる穴です。
ゼロデイ攻撃はどんな流れで進むのか
手口そのものは書きませんが、「なぜ一度入られると被害が広がるのか」を知ると、対策の意味が分かります。家の防犯にたとえて、流れだけを概念で示します。
・弱点を探す：攻撃者は、どの製品が公開されているかを広く自動で調べる（表札と裏口の下見）
・入り込む：修正のない穴から中へ入る（合う鍵がまだ無い裏口）
・居座る：気づかれないよう、戻ってこられる仕掛けを残す（合鍵を作る）
・被害を出す：情報を持ち出す、暗号化する、改ざんする
・広がる：隣の部屋＝社内の別の機器へ移っていく
見落としてはいけないのは、最初の1台で止まらない点です。だからこそ「入られない」だけでなく「入られても広がらない・早く気づく・すぐ戻せる」という備えが要ります。下の表は、攻撃者が何を得ると何ができるのかを、概念レベルで並べたものです（具体的な手順ではありません）。
| 攻撃者が得た状態 | できてしまうこと | 事業への影響 |
|---|---|---|
| 公開画面に入り込めた | 表示の改ざん・入力の盗み見 | 信用低下・来訪者の二次被害 |
| 保存データを読めた | 顧客情報・認証情報の流出 | 報告義務・賠償・解約 |
| 機器を操作できた（RCE） | 窃取・暗号化・踏み台のほぼ全部 | 業務停止・加害側化 |
なぜ技術者任せにできないのか
ゼロデイは「IT部門が直せば済む技術問題」と見られがちですが、実際には経営と事業の判断が要る場面が多くあります。
修正版が出たとき、当てるには一時的にサービスを止めたり、動作確認の人手を割いたりする必要があります。「今すぐ止めてでも当てるか、様子を見るか」は、売上や顧客対応に直結する判断で、現場だけでは決められません。被害が出たあとも、誰に・いつ・何を報告するか、公表するか、取引先へどう説明するかは、経営の領域です。
・修正を当てるために業務を止める判断（止める損失 対 突かれる損失）
・漏えい時の報告・公表・顧客対応をどう進めるか
・保守契約や相談先に、どこまで・いくらで任せるか
・そもそも、公開しなくてよい機能やデータを公開していないか
これらは「お金と時間と信用の配分」の問題です。非エンジニアが関わらないと決まりません。だから、仕組みの詳細は分からなくても、被害の型と選択肢だけは共有しておく価値があります。
いま何をすべきか
非エンジニアでも決められること、指示できることに絞ります。難しい設定は保守先や専門家に任せてよく、ここでは「方針を決める」粒度でまとめます。
WHAT TO DOいま動かせること
非エンジニアでも決められる4つ
-
1.修正を最優先で当てる
出たらすぐ当てられるよう予定を空ける
-
2.バックアップを分けて持つ
戻せれば被害は小さく収まる
-
3.外から触れる口を減らす
公開しなくてよい画面は閉じる
-
4.相談先を先に決める
保守先・専門窓口を事前に押さえる
・修正を最優先で当てる段取り：修正版が出たらすぐ当てられるよう、止めてよい時間帯や担当をあらかじめ決めておく。ゼロデイは「出たその日」に当てられるかが分かれ目
・バックアップを分けて持つ：本番とは別の場所に、戻せる形で定期的に保存する。暗号化されても戻せれば被害は小さく収まる
・外から触れる口を減らす：公開する必要のない管理画面やデータは閉じる。穴があっても、届かなければ突かれにくい
・相談先を先に決める：保守先・専門の窓口・報告先を平時に押さえておく。起きてから探すと初動が遅れる
この4つは、特別な予算や専門知識がなくても「方針として決めておく」だけで初動が変わります。逆に、何も決めていない組織は、修正版が出た日に動けず、被害が出た日に誰へ連絡すればよいかも分からず、時間を失います。平時に決めておくことが、いちばん効く備えです。
修正版が出るまでの「つなぎ」として、WAF などで通信を一時的にせき止める方法もあります。ただしこれは本修正の代わりではなく、仮の壁です。考え方はWAFと仮想パッチで解説しています。あわせて、被害が出たときに「誰が・いつ・何を」答えられるよう記録を残しておくことも欠かせません。何を残すべきかは監査ログの設計にまとめています。
やりがちな誤解
- ・「有名でないから狙われない」＝自動で広く探されるので規模は関係しにくい
- ・「ウイルス対策ソフトがあるから大丈夫」＝未知の穴はすり抜けることがある
- ・「一度対策したから安心」＝新しい穴は次々出る。更新を当て続けることが本丸
まとめ
この記事の結論
- ・ゼロデイは「修正がまだ無い弱点」を突かれる攻撃で、守りが間に合わない時間がある
- ・受けると情報窃取・改ざん・身代金・踏み台の被害が起き、RCE なら乗っ取りに至る
- ・止める判断・報告・相談先は経営の仕事。非エンジニアも被害の型と選択肢を共有しておく
参照ソース
・IPA 情報セキュリティ10大脅威 — 国内で実際に起きている脅威の種類と順位（2026-10-21 時点）
・JPCERT コーディネーションセンター（脆弱性関連情報の取扱い） — 脆弱性の届け出・公表の枠組み（2026-10-21 時点）
