ゼロデイ攻撃とは？ 最新版でも狙われる理由と、修正前にできること

セキュリティを高めるため、パソコンやスマートフォンを最新版にしていても、まだ修正されていない欠陥を攻撃に使われることがあります。
メーカーが修正版を提供する前に、その欠陥を悪用するのが「ゼロデイ攻撃」です。

修正版があるのに、まだ更新していない場合とは、事情が異なります。
更新したくても、その欠陥を直すものがまだ用意されていない時期に、攻撃されるのです。

修正版がない間は、更新だけでその欠陥を直すことはできません。
それでも、対象の機能を使わないなど、被害を避けるための方法が案内される場合があります。

最近ではこの「ゼロデイ攻撃」が増えてきています。
修正版が提供されるまで自身で気を付けられることなど知っておきたいところです。

出典：[警察庁「基本的なセキュリティ対策」](https://www.npa.go.jp/bureau/cyber/countermeasures/basic.html)、[Microsoft「ゼロデイ脆弱性への対応」](https://learn.microsoft.com/en-us/defender-vulnerability-management/tvm-zero-day-vulnerabilities)

まず、攻撃に使われる「欠陥」とは何か

アプリや機器は、受け取ったデータを、プログラムに書かれた手順で処理します。
その手順に問題があると、作った人が意図していない動きをすることがあります。

そのうち、他人の情報を読まれたり、許可していない命令を実行されたりする原因になる、安全上の欠陥を「脆弱性（ぜいじゃくせい）」と呼びます。

例えば、画像を見るアプリに、特殊なデータを含む画像を開くと、攻撃者の命令まで実行してしまう欠陥（脆弱性）があったとします。（これは仕組みを説明するための仮の例です。）

攻撃者は、その欠陥を利用するために画像に細工をします。
利用者が画像を開き、アプリが読み込んだ結果、画像の表示だけでなく、不正な命令まで実行されてしまいます。

この例では画像を開く操作が必要ですが、攻撃が成立する条件は欠陥ごとに異なります。
インターネットにつながる会社の機器へ、攻撃者が直接データを送り込める場合もあります。

欠陥は、もともとアプリや機器にあった問題です。
攻撃者は、その問題を利用して、本来は許可されない動作を起こします。

メーカーは問題のある処理を直し、修正したプログラムを提供します。
その修正を自分のアプリや機器に取り込むのが脆弱性に対応する更新です。
ニュースに出てくる「パッチ」は、こうした修正プログラムを指します。

出典：[警察庁「ぜい弱性対策」](https://www.npa.go.jp/bureau/cyber/countermeasures/basic.html)、[情報処理推進機構（IPA）「脆弱性ハンドブック」](https://www.ipa.go.jp/archive/publish/qv6pgp0000000wgw-att/vuln-handling.pdf)

何が「ゼロ日」なのか

「ゼロデイ」は英語のzero-dayで、直訳すると「ゼロ日」です。
攻撃される前に修正を用意する時間がないことを表した呼び方です。

「見つかったその日だけ危険」「攻撃が24時間で終わる」という意味ではありません。
修正版が作られるまで、攻撃されるおそれが続くことがあります。

メーカーが欠陥を知る前に攻撃される場合もあれば、問題を把握して修正している途中で攻撃される場合もあります。
いずれも、利用者はまだ、その欠陥を直す更新を受け取れない状態です。

ニュースで「ゼロデイ脆弱性」と書かれていれば、欠陥そのものを指します。
「ゼロデイ攻撃」は、その欠陥を実際に悪用する行為を指します。

出典：[IT企業IBMによるゼロデイ攻撃の説明](https://www.ibm.com/think/topics/zero-day)、[Microsoft「ゼロデイ脆弱性の説明」](https://learn.microsoft.com/en-us/defender-vulnerability-management/tvm-zero-day-vulnerabilities)

最新版なのに、なぜ攻撃されるのか

最新版とは、その時点でメーカーが提供している新しい版のことです。
まだ見つかっていない欠陥や、修正が終わっていない欠陥まで、すべて取り除かれているとは限りません。

2026年10月には、会社の外から社内システムへ接続する機器で、実際にこの問題が起きました。「VPN装置」と呼ばれる機器の一つで、製品名は「Ivanti Connect Secure（アイヴァンティ・コネクトセキュア）」です。

調査会社Volexity（ヴォレキシティ）によると、調べた装置は当時の最新版に更新済みでした。
それでも、攻撃者は3つの未修正の欠陥を組み合わせ、装置で不正な命令を実行していました。

Volexityは、少なくとも10月3日から悪用されていたと報告しています。最初の欠陥の修正は10月13日に提供されました。装置の最高権限を使われる欠陥の修正は、10月29日に提供されました。

この事例で攻撃された時点では、利用者が最新版に更新しても、攻撃に使われた欠陥が残っていました。
修正が提供される前に悪用された、という順序が「ゼロデイ攻撃」を理解する手がかりになります。

出典：[Volexityの調査報告と10月29日の追記](https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/)

修正版が出ても、自分の機器はまだ直っていない

メーカーが修正版を公開することと、自分の機器に修正を取り込むことは、別の作業です。

自分で管理するアプリや機器では、その修正を含む更新を適用する必要があります。
自動更新を使っていても、再起動など、メーカーが求める操作が残っていないかを確認します。

修正版が出た後も更新しなければ、同じ欠陥を悪用されるおそれは残ります。
ゼロデイとして報告された欠陥が、その後も更新されていない機器への攻撃に使われることはあるのです。

当然ですが、更新で欠陥を直しても、それ以前に盗まれた情報を取り戻すことはできません。
攻撃者に侵入されていたかどうかも、更新だけでは分かりません。

侵入が疑われる組織では、更新に加えて、攻撃の記録や被害の有無を調べる必要があります。更新と、過去の侵入の調査は、目的が違う作業です。

出典：[警察庁「基本的なセキュリティ対策」](https://www.npa.go.jp/bureau/cyber/countermeasures/basic.html)、[Volexityの調査報告](https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/)

修正版がない間にも、できることはある

メーカーが「問題のある機能を一時的に無効にする」などの方法を案内する場合があります。
欠陥そのものを直さずに、攻撃される条件を避けたり、影響を小さくしたりする方法を「回避策」と呼びます。

例えば、攻撃がある機能を通じてしか成立しないなら、その機能を使えなくすることで、攻撃を防げる場合があります。
ただし、どの方法を使えるかは製品と欠陥内容によって異なります。必ずメーカーの案内を確認してください。

会社の機器では、機能を止めると仕事への接続も止まることがあります。
管理担当者は、業務への影響と攻撃の危険を確かめたうえで、回避策や一時停止を判断します。

ウイルス対策ソフトや、不審な動きを見つける監視も、被害を防いだり広がりを抑えたりするために使います。
ただし、入れておけば、すべてのゼロデイ攻撃を防げるというものではありません。

出典：[Microsoft「修正版がない場合の回避策」](https://learn.microsoft.com/en-us/defender-vulnerability-management/tvm-zero-day-vulnerabilities)、[警察庁「ゼロデイ攻撃」](https://www.npa.go.jp/bureau/cyber/countermeasures/basic.html)

ニュースで確認したいのは、製品と修正の状況

「ゼロデイが見つかった」という見出しだけでは、自分に関係するかも、何をすればよいかも分かりません。
次の順に確認します。

自分が使う製品が対象か

製品名と、影響を受ける版の番号を確かめます。この番号が「バージョン」です。同じ製品でも、バージョンや設定によって対象に含まれない場合があります。

会社でどの機器を使っているか分からない場合は、管理担当者に確認します。
社内の装置が対象なら、社員一人ひとりのパソコンを更新するだけでは、その装置の欠陥は直りません。

修正版が出ているか

修正版があれば、自分の製品に合う更新を公式の方法で適用します。
会社が管理する端末や機器は、担当者の案内に従います。

まだ修正版がなければ、メーカーが回避策を案内していないかを確認します。
以前読んだ記事で「修正なし」と書かれていても、その後に案内が更新されている場合があります。

更新以外の対応が必要か

実際に攻撃への悪用が確認されているか、侵入された疑いがあるかを確かめます。
単に欠陥が発見されたことと、攻撃に使われたことは、別の情報です。

侵入が疑われる場合は、ログと呼ばれる動作の記録などを調べ、認証情報の変更や復旧が必要かを判断します。
仕事用の端末なら、不審な動きを管理担当者へ知らせてください。

出典：[IPA「脆弱性ハンドブック」第5章](https://www.ipa.go.jp/archive/publish/qv6pgp0000000wgw-att/vuln-handling.pdf)、[Volexityの調査報告](https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/)

ふだんの更新が、必要なくなるわけではない

ゼロデイ攻撃に対して、更新だけでは対処できない時期があるのは事実です。ただし、修正版が出ている欠陥は、更新することで直せます。

自分で管理するパソコンやスマートフォンは、基本ソフトとアプリの自動更新を有効にし、求められた再起動を済ませます。
会社が管理する機器では、決められた更新の手順に従ってください。

普段の更新を続けながら、自分の製品について注意喚起が出たときは、メーカーの案内で追加の対応を確認します。

出典：[警視庁「OSやソフトウェアの対策」](https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/security/os_software.html)

※2026年10月31日までに確認した公開資料をもとにした解説です。

## 参考リンク

- [警察庁：基本的なセキュリティ対策](https://www.npa.go.jp/bureau/cyber/countermeasures/basic.html)
- [警視庁：OSやソフトウェアの対策](https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/security/os_software.html)
- [Microsoft：Mitigate zero-day vulnerabilities](https://learn.microsoft.com/en-us/defender-vulnerability-management/tvm-zero-day-vulnerabilities)
- [IBM：What is a zero-day exploit?](https://www.ibm.com/think/topics/zero-day)
- [IPA：脆弱性ハンドブック](https://www.ipa.go.jp/archive/publish/qv6pgp0000000wgw-att/vuln-handling.pdf)
- [Volexity：Ivanti Connect Secureのゼロデイ攻撃の調査](https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/)