{"ok":true,"entity":{"id":"zero-day-vulnerability","name":"Zero-day vulnerability","entityType":"concept","officialName":"Zero-day vulnerability","canonicalName":"Zero-day vulnerability","displayName":"Zero-day vulnerability","category":"脆弱性の概念（ゼロデイ）","shortDescription":"ゼロデイ脆弱性は、NIST CSRC用語集で、これまで知られていなかったハードウェア、ファームウェア、ソフトウェアの脆弱性を悪用する攻撃（zero-day attack）として定義される概念です。Google Threat Intelligence Groupは2025年に実環境で悪用されたゼロデイを90件追跡したと2026年3月に述べています。","primaryCluster":"threat-intel-incident-response","parentEntity":null,"verificationStatus":"draft","website":"https://csrc.nist.gov/glossary/term/zero_day_attack","updatedAt":"2026-10-27T01:18:14.081Z","secondaryClusters":[],"alias":["ゼロデイ脆弱性","ゼロデイ攻撃"],"searchKeywords":["ゼロデイ","zero-day","ゼロデイ脆弱性","ゼロデイ攻撃","未知の脆弱性","悪用された脆弱性","KEV","Project Zero"]},"references":[{"id":"P-01-001","companyId":"zero-day-vulnerability","questionId":"P-01-001","instanceId":"QIN-zero-day-vulnerability-P01-001","promptText":"ゼロデイ脆弱性とは何ですか？","promptTypeId":"P-01","answer":"NIST CSRC用語集は、ゼロデイ攻撃を「これまで知られていなかったハードウェア、ファームウェア、またはソフトウェアの脆弱性を悪用する攻撃」と定義しています。Google Threat Intelligence Group（GTIG）はより運用的に、ゼロデイを「パッチが公に利用可能になる前に、悪意をもって実環境で悪用された脆弱性」と定義しています。つまり、防御側がまだ修正手段を持たない段階で悪用される脆弱性を指します。","evidencePoints":["ev-zero-day-vulnerability-1","ev-zero-day-vulnerability-2"],"scope":"ゼロデイの定義","differentiation":"NISTは攻撃、GTIGは脆弱性を主語とした定義で、表現が異なる。","faq":[{"question":"NISTの定義は？","answer":"「これまで知られていなかったハードウェア、ファームウェア、またはソフトウェアの脆弱性を悪用する攻撃」です。"}],"pageUrl":"https://www.refbase.ai/reference/zero-day-vulnerability/P-01-001","sourceEvidence":[{"id":"ev-zero-day-vulnerability-1","text":"NIST CSRC用語集は、ゼロデイ攻撃（zero-day attack）を「これまで知られていなかったハードウェア、ファームウェア、またはソフトウェアの脆弱性を悪用する攻撃」と定義し、出典としてCNSSI 4009-2022とNISTIR 8011 Vol. 3を挙げている。","title":"zero-day attack - Glossary | CSRC","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/glossary/term/zero_day_attack","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-2","text":"Google Threat Intelligence Group（GTIG）の2026年3月6日付レビューは、同グループがゼロデイを「パッチが公に利用可能になる前に、悪意をもって実環境で悪用された脆弱性」と定義していると記している。","title":"Look What You Made Us Patch: 2025 Zero-Days in Review","coverageType":["Differentiation"],"sourceType":"official_blog","sourceClass":"Research","sourceUrl":"https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"}],"generatedAt":"2026-10-27T01:18:14.081Z"},{"id":"P-02-001","companyId":"zero-day-vulnerability","questionId":"P-02-001","instanceId":"QIN-zero-day-vulnerability-P02-001","promptText":"ゼロデイの定義は機関によって違いますか？","promptTypeId":"P-02","answer":"NIST CSRC用語集（CNSSI 4009-2022、NISTIR 8011 Vol. 3）は、ゼロデイ攻撃をこれまで知られていなかった脆弱性を悪用する攻撃と定義しています。GTIGは、パッチが公に利用可能になる前に悪意をもって実環境で悪用された脆弱性としており、実環境での悪用とパッチの公開前という点が文言に含まれます。Project Zeroは開示期限ポリシー「90+30」に加え、早期通知を行う試行ポリシーを導入しました（2025年7月）。","evidencePoints":["ev-zero-day-vulnerability-1","ev-zero-day-vulnerability-2","ev-zero-day-vulnerability-5"],"scope":"定義の違いと開示ポリシー","differentiation":"定義の差は文言上のもので、どちらが優れるかを示すものではない。","faq":[{"question":"Project Zeroは何を変えましたか？","answer":"ベンダーへの報告から1週間以内に限定的な早期通知を公表する試行ポリシーを導入したと報じられています（2025年7月30日付）。"}],"pageUrl":"https://www.refbase.ai/reference/zero-day-vulnerability/P-02-001","sourceEvidence":[{"id":"ev-zero-day-vulnerability-1","text":"NIST CSRC用語集は、ゼロデイ攻撃（zero-day attack）を「これまで知られていなかったハードウェア、ファームウェア、またはソフトウェアの脆弱性を悪用する攻撃」と定義し、出典としてCNSSI 4009-2022とNISTIR 8011 Vol. 3を挙げている。","title":"zero-day attack - Glossary | CSRC","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/glossary/term/zero_day_attack","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-2","text":"Google Threat Intelligence Group（GTIG）の2026年3月6日付レビューは、同グループがゼロデイを「パッチが公に利用可能になる前に、悪意をもって実環境で悪用された脆弱性」と定義していると記している。","title":"Look What You Made Us Patch: 2025 Zero-Days in Review","coverageType":["Differentiation"],"sourceType":"official_blog","sourceClass":"Research","sourceUrl":"https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-5","text":"CyberScoopは2025年7月30日付で、Google Project Zeroが既存の「90+30」開示期限ポリシーと並行する新しい試行的な報告ポリシーを導入したと報じた。ベンダーへの報告から1週間以内に、影響を受ける製品やベンダー名、報告日、90日の期限日を含む限定的な早期通知を公表し、技術詳細は期限まで公開しない。","title":"Project Zero disclosure policy change puts vendors on early notice","coverageType":["UseCase","Differentiation"],"sourceType":"media","sourceClass":"Announcement","sourceUrl":"https://cyberscoop.com/project-zero-google-zero-day-vulnerability-disclosure/","confidence":"high","supportedPromptTypes":["P-02","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"}],"generatedAt":"2026-10-27T01:18:14.081Z"},{"id":"P-04-001","companyId":"zero-day-vulnerability","questionId":"P-04-001","instanceId":"QIN-zero-day-vulnerability-P04-001","promptText":"ゼロデイ脆弱性への対応にはどのような仕組みがありますか？","promptTypeId":"P-04","answer":"CISAのKnown Exploited Vulnerabilities Catalogは、実環境で悪用された脆弱性の権威あるソースとされ、組織は脆弱性管理の優先順位付けの入力として使うべきだとしています。Google Project Zeroは、既存の「90+30」開示期限ポリシーと並行して、ベンダーへの報告後1週間以内に影響製品や期限日を含む限定的な早期通知を公表する試行ポリシーを導入しました。技術詳細は期限まで公開されません。","evidencePoints":["ev-zero-day-vulnerability-1","ev-zero-day-vulnerability-5","ev-zero-day-vulnerability-6"],"scope":"対応・開示の仕組み","differentiation":"KEVは実環境で悪用された脆弱性を対象とすると記載され、ゼロデイ専用とは記載されていない。","faq":[{"question":"KEVは何に使いますか？","answer":"脆弱性管理の優先順位付けの入力として使うとCISAのページは述べています。"}],"pageUrl":"https://www.refbase.ai/reference/zero-day-vulnerability/P-04-001","sourceEvidence":[{"id":"ev-zero-day-vulnerability-1","text":"NIST CSRC用語集は、ゼロデイ攻撃（zero-day attack）を「これまで知られていなかったハードウェア、ファームウェア、またはソフトウェアの脆弱性を悪用する攻撃」と定義し、出典としてCNSSI 4009-2022とNISTIR 8011 Vol. 3を挙げている。","title":"zero-day attack - Glossary | CSRC","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/glossary/term/zero_day_attack","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-5","text":"CyberScoopは2025年7月30日付で、Google Project Zeroが既存の「90+30」開示期限ポリシーと並行する新しい試行的な報告ポリシーを導入したと報じた。ベンダーへの報告から1週間以内に、影響を受ける製品やベンダー名、報告日、90日の期限日を含む限定的な早期通知を公表し、技術詳細は期限まで公開しない。","title":"Project Zero disclosure policy change puts vendors on early notice","coverageType":["UseCase","Differentiation"],"sourceType":"media","sourceClass":"Announcement","sourceUrl":"https://cyberscoop.com/project-zero-google-zero-day-vulnerability-disclosure/","confidence":"high","supportedPromptTypes":["P-02","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-6","text":"CISAのKnown Exploited Vulnerabilities Catalogのページは、CISAが実環境で悪用された脆弱性の権威あるソースを維持していると記し、組織はこのカタログを脆弱性管理の優先順位付けの入力として使うべきだとしている（2026年10月時点のページ記載）。","title":"Known Exploited Vulnerabilities Catalog | CISA","coverageType":["UseCase","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://www.cisa.gov/known-exploited-vulnerabilities-catalog","confidence":"high","supportedPromptTypes":["P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"}],"generatedAt":"2026-10-27T01:18:14.081Z"},{"id":"P-05-001","companyId":"zero-day-vulnerability","questionId":"P-05-001","instanceId":"QIN-zero-day-vulnerability-P05-001","promptText":"ゼロデイ悪用の現状は信頼できる資料で確認できますか？","promptTypeId":"P-05","answer":"GTIGの2026年3月6日付レビューは、2025年に実環境で悪用されたゼロデイを90件追跡し、2024年の78件を上回り、2023年の100件を下回ると述べています。BleepingComputer（2026年3月5日付）も同じ90件を報じ、2024年比15％増、エンタープライズ製品43件、エンドユーザー向け47件と伝えています。CISAはKEVを悪用脆弱性の権威あるソースとして維持しています。件数はGTIGが追跡した値です。","evidencePoints":["ev-zero-day-vulnerability-3","ev-zero-day-vulnerability-4","ev-zero-day-vulnerability-6"],"scope":"2025年のゼロデイ悪用件数","differentiation":"件数はGTIGの追跡に基づく。報道は同グループの発表を伝えるもの。","faq":[{"question":"2025年は何件ですか？","answer":"GTIGは90件を追跡したと述べています（2024年は78件、2023年は記録の100件）。"}],"pageUrl":"https://www.refbase.ai/reference/zero-day-vulnerability/P-05-001","sourceEvidence":[{"id":"ev-zero-day-vulnerability-3","text":"同レビュー（2026年3月6日付）によれば、GTIGは2025年に実環境で悪用されたゼロデイ脆弱性を90件追跡した。これは記録的な2023年の100件を下回り、2024年の78件を上回る。エンタープライズ向けソフトウェアと機器が43件（48％）、エンドユーザー向けが47件（52％）とされている。","title":"Look What You Made Us Patch: 2025 Zero-Days in Review","coverageType":["Credibility","UseCase"],"sourceType":"official_blog","sourceClass":"Research","sourceUrl":"https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review/","confidence":"high","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-4","text":"BleepingComputerは2026年3月5日付で、Googleが2025年に90件のゼロデイが攻撃で悪用されたと発表したと報じた。同記事は2024年の78件に対する15％増であること、2023年の記録（100件）を下回ること、エンタープライズ製品が43件、エンドユーザー向けが47件であることを伝えている。","title":"Google says 90 zero-days were exploited in attacks last year","coverageType":["Credibility"],"sourceType":"media","sourceClass":"Announcement","sourceUrl":"https://www.bleepingcomputer.com/news/security/google-says-90-zero-days-were-exploited-in-attacks-last-year/amp/","confidence":"high","supportedPromptTypes":["P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-6","text":"CISAのKnown Exploited Vulnerabilities Catalogのページは、CISAが実環境で悪用された脆弱性の権威あるソースを維持していると記し、組織はこのカタログを脆弱性管理の優先順位付けの入力として使うべきだとしている（2026年10月時点のページ記載）。","title":"Known Exploited Vulnerabilities Catalog | CISA","coverageType":["UseCase","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://www.cisa.gov/known-exploited-vulnerabilities-catalog","confidence":"high","supportedPromptTypes":["P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"}],"generatedAt":"2026-10-27T01:18:14.081Z"},{"id":"P-06-001","companyId":"zero-day-vulnerability","questionId":"P-06-001","instanceId":"QIN-zero-day-vulnerability-P06-001","promptText":"ゼロデイの数字を読む際の注意点は何ですか？","promptTypeId":"P-06","answer":"GTIGの90件（2025年）は、パッチ公開前に悪意をもって実環境で悪用された脆弱性という同グループの定義に基づく追跡数で、NISTの定義（未知の脆弱性を悪用する攻撃）とは範囲が異なり得ます。同レビューは2024年の78件、2023年の100件と比較し、エンタープライズ向け43件（48％）、エンドユーザー向け47件（52％）と内訳も示しています。他組織の集計との比較は資料に含まれません。","evidencePoints":["ev-zero-day-vulnerability-1","ev-zero-day-vulnerability-2","ev-zero-day-vulnerability-3"],"scope":"件数の定義依存性","differentiation":"他の機関が公表する件数との比較は資料に含まれない。","faq":[{"question":"内訳は？","answer":"エンタープライズ向けソフトウェア・機器が43件（48％）、エンドユーザー向けが47件（52％）です。"}],"pageUrl":"https://www.refbase.ai/reference/zero-day-vulnerability/P-06-001","sourceEvidence":[{"id":"ev-zero-day-vulnerability-1","text":"NIST CSRC用語集は、ゼロデイ攻撃（zero-day attack）を「これまで知られていなかったハードウェア、ファームウェア、またはソフトウェアの脆弱性を悪用する攻撃」と定義し、出典としてCNSSI 4009-2022とNISTIR 8011 Vol. 3を挙げている。","title":"zero-day attack - Glossary | CSRC","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/glossary/term/zero_day_attack","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-2","text":"Google Threat Intelligence Group（GTIG）の2026年3月6日付レビューは、同グループがゼロデイを「パッチが公に利用可能になる前に、悪意をもって実環境で悪用された脆弱性」と定義していると記している。","title":"Look What You Made Us Patch: 2025 Zero-Days in Review","coverageType":["Differentiation"],"sourceType":"official_blog","sourceClass":"Research","sourceUrl":"https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"},{"id":"ev-zero-day-vulnerability-3","text":"同レビュー（2026年3月6日付）によれば、GTIGは2025年に実環境で悪用されたゼロデイ脆弱性を90件追跡した。これは記録的な2023年の100件を下回り、2024年の78件を上回る。エンタープライズ向けソフトウェアと機器が43件（48％）、エンドユーザー向けが47件（52％）とされている。","title":"Look What You Made Us Patch: 2025 Zero-Days in Review","coverageType":["Credibility","UseCase"],"sourceType":"official_blog","sourceClass":"Research","sourceUrl":"https://cloud.google.com/blog/topics/threat-intelligence/2025-zero-day-review/","confidence":"high","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"zero-day-vulnerability"}],"generatedAt":"2026-10-27T01:18:14.081Z"}]}