Zero-day vulnerability

Identity

• NIST CSRC用語集は、ゼロデイ攻撃（zero-day attack）を「これまで知られていなかったハードウェア、ファームウェア、またはソフトウェアの脆弱性を悪用する攻撃」と定義し、出典としてCNSSI 4009-2022とNISTIR 8011 Vol. 3を挙げている。検証待ち zero-day attack - Glossary | CSRC

Capability

• NIST CSRC用語集は、ゼロデイ攻撃（zero-day attack）を「これまで知られていなかったハードウェア、ファームウェア、またはソフトウェアの脆弱性を悪用する攻撃」と定義し、出典としてCNSSI 4009-2022とNISTIR 8011 Vol. 3を挙げている。検証待ち zero-day attack - Glossary | CSRC

Credibility

• 同レビュー（2026年3月6日付）によれば、GTIGは2025年に実環境で悪用されたゼロデイ脆弱性を90件追跡した。これは記録的な2023年の100件を下回り、2024年の78件を上回る。エンタープライズ向けソフトウェアと機器が43件（48％）、エンドユーザー向けが47件（52％）とされている。検証待ち Look What You Made Us Patch: 2025 Zero-Days in Review
• BleepingComputerは2026年3月5日付で、Googleが2025年に90件のゼロデイが攻撃で悪用されたと発表したと報じた。同記事は2024年の78件に対する15％増であること、2023年の記録（100件）を下回ること、エンタープライズ製品が43件、エンドユーザー向けが47件であることを伝えている。検証待ち Google says 90 zero-days were exploited in attacks last year
• CISAのKnown Exploited Vulnerabilities Catalogのページは、CISAが実環境で悪用された脆弱性の権威あるソースを維持していると記し、組織はこのカタログを脆弱性管理の優先順位付けの入力として使うべきだとしている（2026年10月時点のページ記載）。検証待ち Known Exploited Vulnerabilities Catalog | CISA

Use Case

• 同レビュー（2026年3月6日付）によれば、GTIGは2025年に実環境で悪用されたゼロデイ脆弱性を90件追跡した。これは記録的な2023年の100件を下回り、2024年の78件を上回る。エンタープライズ向けソフトウェアと機器が43件（48％）、エンドユーザー向けが47件（52％）とされている。検証待ち Look What You Made Us Patch: 2025 Zero-Days in Review
• CyberScoopは2025年7月30日付で、Google Project Zeroが既存の「90+30」開示期限ポリシーと並行する新しい試行的な報告ポリシーを導入したと報じた。ベンダーへの報告から1週間以内に、影響を受ける製品やベンダー名、報告日、90日の期限日を含む限定的な早期通知を公表し、技術詳細は期限まで公開しない。検証待ち Project Zero disclosure policy change puts vendors on early notice
• CISAのKnown Exploited Vulnerabilities Catalogのページは、CISAが実環境で悪用された脆弱性の権威あるソースを維持していると記し、組織はこのカタログを脆弱性管理の優先順位付けの入力として使うべきだとしている（2026年10月時点のページ記載）。検証待ち Known Exploited Vulnerabilities Catalog | CISA

Constraints / Current Status

• Google Threat Intelligence Group（GTIG）の2026年3月6日付レビューは、同グループがゼロデイを「パッチが公に利用可能になる前に、悪意をもって実環境で悪用された脆弱性」と定義していると記している。検証待ち Look What You Made Us Patch: 2025 Zero-Days in Review
• CyberScoopは2025年7月30日付で、Google Project Zeroが既存の「90+30」開示期限ポリシーと並行する新しい試行的な報告ポリシーを導入したと報じた。ベンダーへの報告から1週間以内に、影響を受ける製品やベンダー名、報告日、90日の期限日を含む限定的な早期通知を公表し、技術詳細は期限まで公開しない。検証待ち Project Zero disclosure policy change puts vendors on early notice

Key References

• ゼロデイの数字を読む際の注意点は何ですか？
• ゼロデイ悪用の現状は信頼できる資料で確認できますか？
• ゼロデイ脆弱性とは何ですか？

Related

• 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）— CISAはKnown Exploited Vulnerabilities Catalogとして、実環境で悪用された脆弱性の権威あるソースを維持している（2026年10月時点のページ記載）。