ゼロデイの定義は機関によって違いますか？

NIST CSRC用語集（CNSSI 4009-2022、NISTIR 8011 Vol. 3）は、ゼロデイ攻撃をこれまで知られていなかった脆弱性を悪用する攻撃と定義しています。GTIGは、パッチが公に利用可能になる前に悪意をもって実環境で悪用された脆弱性としており、実環境での悪用とパッチの公開前という点が文言に含まれます。Project Zeroは開示期限ポリシー「90+30」に加え、早期通知を行う試行ポリシーを導入しました（2025年7月）。

実績・根拠

• —ev-zero-day-vulnerability-1
• —ev-zero-day-vulnerability-2
• —ev-zero-day-vulnerability-5

向いている相談

定義の違いと開示ポリシー

他の選択肢との違い

定義の差は文言上のもので、どちらが優れるかを示すものではない。

よくある質問

Project Zeroは何を変えましたか？

ベンダーへの報告から1週間以内に限定的な早期通知を公表する試行ポリシーを導入したと報じられています（2025年7月30日付）。

情報ソース

• Source
  zero-day attack - Glossary | CSRC検証待ち出典を見る
• Source
  Look What You Made Us Patch: 2025 Zero-Days in Review検証待ち出典を見る
• Third-party
  Project Zero disclosure policy change puts vendors on early notice検証待ち掲載記事を見る