Вразливість нульового дня: що це таке, як працюють атаки zero-day і як від них захиститися
Вразливість нульового дня (zero-day) — це помилка в програмі чи пристрої, яку зловмисники вже використовують, а виправлення для неї ще не опубліковано. У 2025 році Google Threat Intelligence Group зафіксувала 90 таких вразливостей, і майже половина з них припала на корпоративне програмне забезпечення та мережеве обладнання.
Для України ця тема має цілком практичний вимір. Вразливість в архіваторі WinRAR, яку влітку 2025 року використали як zero-day, російські угруповання досі застосовують проти українських військових, правоохоронців і органів місцевого самоврядування — хоча виправлення вийшло ще в липні 2025 року.
Головне
Вразливість нульового дня — недолік, який зловмисники експлуатують до появи публічного виправлення.
Після виходу патча вона стає n-day і часто залишається небезпечною місяцями через пристрої, які не оновили.
У 2025 році зафіксовано 90 вразливостей нульового дня; найбільше — в операційних системах і корпоративному обладнанні.
WannaCry і NotPetya використовували вже виправлену вразливість, тобто не були атаками нульового дня.
Найдієвіший захист для звичайних користувачів — швидкі оновлення, обережність із вкладеннями та посилені режими захисту смартфонів.
Що таке вразливість і чому її називають «нульового дня»
Вразливість — це помилка або прогалина в програмному чи апаратному забезпеченні, яку можна використати для дій, не передбачених розробником: виконати сторонній код, отримати доступ до чужих даних, підвищити власні привілеї в системі. Публічно відомим вразливостям присвоюють ідентифікатор CVE (наприклад, CVE-2025-8088), а їхню небезпечність оцінюють за шкалою CVSS від 0 до 10.
Вразливістю нульового дня називають таку, яку зловмисники почали використовувати раніше, ніж зʼявилося публічне виправлення. Саме так її визначає Google Threat Intelligence Group (GTIG): вирішальним є не те, чи знає про проблему розробник, а те, чи встигли користувачі отримати патч. Назва описує ситуацію з погляду захисту: у постачальника було «нуль днів», щоб випустити виправлення до початку атак.
Поширене спрощення «про вразливість нульового дня розробник не знає» тому не завжди точне. Вразливість CVE-2021-30116 у системі віддаленого адміністрування Kaseya VSA дослідники з Нідерландського інституту розкриття вразливостей (DIVD) передали компанії ще у квітні 2021 року. Проте в липні угруповання REvil використало її раніше, ніж вийшло виправлення.
Вразливість, експлойт і атака нульового дня: у чому різниця
Ці три терміни часто вживають як синоніми, хоча вони описують різні етапи одного процесу.
Вразливість нульового дня — сама помилка в коді чи конфігурації, для якої ще немає публічного виправлення.
Експлойт нульового дня — код або техніка, що використовує цю помилку для конкретної дії: запуску шкідливого ПЗ, обходу автентифікації, викрадення даних.
Атака нульового дня — застосування такого експлойту проти реальних жертв.
Як влаштовані експлойти і чим вони відрізняються від шкідливого ПЗ, CyberCalm детально пояснює в окремому матеріалі.
Zero-day і n-day: чому «старі» вразливості не менш небезпечні
Щойно розробник публікує виправлення, вразливість нульового дня стає n-day — відомою і закритою, але досі придатною для атак на неоновлені системи. В Anthropic зазначають, що в певному сенсі n-day навіть небезпечніші: факт існування вразливості вже публічний, а сам патч фактично вказує зловмисникам, де шукати помилку. Між розкриттям і масовими атаками стоїть лише час, потрібний на створення робочого експлойту.
Наскільки швидко це відбувається, показала Log4Shell (CVE-2021-44228) — критична вразливість у бібліотеці журналювання Apache Log4j, яку використовують тисячі Java-застосунків. За даними Cloudflare, поодинокі спроби перевірити вразливість компанія зафіксувала 1 грудня 2021 року, за вісім днів до публічного розкриття, тобто ще на етапі zero-day. А після оголошення першу спробу експлуатації помітили вже через девʼять хвилин.
Ще один бік проблеми — програми, які не оновлюються самі. WinRAR, наприклад, не має автооновлення, не підтримує групові політики Windows і не потрапляє в корпоративні системи керування оновленнями. Через це вразливі версії залишаються на компʼютерах набагато довше, ніж після виходу патча для операційної системи.
Хто використовує вразливості нульового дня
Експлойти нульового дня дорогі, тож історично ними користувалися передусім держави. Проте, за даними звіту GTIG за 2025 рік, коло покупців розширюється.
Комерційні постачальники шпигунського ПЗ та їхні клієнти. У 2025 році GTIG уперше приписала їм більше вразливостей нульового дня, ніж традиційним державним угрупованням кібершпигунства. Такі компанії зосереджуються на смартфонах і браузерах, а їхні продукти, за оцінкою GTIG, використовують у тому числі проти правозахисників і журналістів.
Державні угруповання кібершпигунства. Понад половину приписаних їм zero-day вони спрямували на периметральні пристрої та засоби безпеки — маршрутизатори, VPN-шлюзи, міжмережеві екрани. Найактивнішими серед держав залишаються повʼязані з Китаєм групи — щонайменше 10 вразливостей у 2025 році. Жодної вразливості нульового дня GTIG не приписала угрупованням КНДР, хоча у 2024 році їх було пʼять.
Фінансово мотивовані злочинці. На них припадає 9 вразливостей нульового дня у 2025 році, дві з яких використали в операціях, що завершилися розгортанням програм-вимагачів.
Для тих, хто не може знайти вразливість самостійно, існує тіньовий ринок. На кіберзлочинних форумах, як повідомляє The Register, у листопаді 2025 року пропонували експлойт нульового дня для Microsoft Office з виходом із «пісочниці» за 300 тисяч доларів, а місяцем раніше — експлойт для підвищення привілеїв у Windows за 100 тисяч доларів.
Читайте такожШпигунське ПЗ: що це таке, які види існують і як воно потрапляє на телефон
Що атакують найчастіше: статистика 2025 року
За даними GTIG, загальна кількість вразливостей нульового дня за останні пʼять років коливається в межах 60–100 на рік. У 2025-му їх нарахували 90 — більше, ніж 78 у 2024 році, але менше за рекордні 100 у 2023-му. Змінюється насамперед структура цілей:
Корпоративні технології — 43 вразливості (48%), рекордна частка. Близько половини з них (21) — засоби безпеки та мережеве обладнання. Ще 14 стосувалися периметральних пристроїв, і, на думку дослідників, ця цифра занижена: на таких пристроях зазвичай немає засобів моніторингу, тож зломи складно помітити.
Операційні системи — 39 вразливостей (44%), найбільша категорія. Окремо зросла кількість вразливостей у мобільних ОС: 15 проти 9 у 2024 році.
Браузери — менш ніж 10% від загальної кількості. GTIG пояснює спад як посиленням захисту браузерів, так і тим, що зловмисники стали обережнішими й рідше потрапляють у поле зору.
Найчастіше вразливості нульового дня використовують для віддаленого виконання коду, на другому місці — підвищення привілеїв. Приблизно 35% усіх таких вразливостей становлять помилки безпеки памʼяті. Серед постачальників, як підрахувала SecurityWeek на основі звіту GTIG, найбільше zero-day у 2025 році припало на продукти Microsoft (25), далі йдуть Google (11), Apple (8) і Cisco (4).
Вразливість у WinRAR: zero-day, який досі використовують проти України
CVE-2025-8088 — вразливість типу path traversal в архіваторі WinRAR для Windows з оцінкою 8,4 за шкалою CVSS. Її виявили дослідники ESET влітку 2025 року, коли повʼязане з росією угруповання RomCom уже використовувало її як zero-day. За даними GTIG, приблизно в той самий час, у середині липня 2025 року, вразливість почало експлуатувати й фінансово мотивоване угруповання UNC2165, частина учасників якого перебуває в росії.
Механізм атаки простий для жертви і непомітний для неї. Людина отримує RAR-архів, зазвичай електронною поштою, і відкриває його у старій версії WinRAR. За даними Trend Micro, на екрані зʼявляється лише PDF-документ, а у фоновому режимі архіватор без жодних попереджень записує додаткові файли в папку автозапуску Windows. Під час наступного входу в систему шкідливий код запускається сам.
Приманки розраховані саме на українських адресатів: повістки до суду (зокрема від імені Дніпропетровського окружного адміністративного суду), реєстри військовозобовʼязаних від імені Міністерства оборони, переліки військової техніки. Частину листів, за даними дослідників, надсилали зі зламаних поштових скриньок українських державних установ.
Виправлення вийшло у WinRAR 7.13 у липні 2025 року. Проте, за даними звіту Trend Micro від червня 2026 року, щонайменше до квітня 2026-го два різні угруповання продовжували створювати нові зразки експлойта. Одне з них CERT-UA відстежує як UAC-0226: воно атакує центри військових інновацій, військові формування, правоохоронні органи та органи місцевого самоврядування поблизу східного кордону. Його шкідлива програма GIFTEDCROOK викрадає паролі й файли cookie з браузерів, а також документи 35 типів, зокрема бази паролів KeePass і конфігурації OpenVPN. Друге — Gamaredon, одне з найактивніших проросійських угруповань, яке атакує Україну щонайменше з 2013 року. Окрім них, цю вразливість, за даними дослідників, використовували також Sandworm і Turla.
Відомі атаки нульового дня: від Stuxnet до Oracle
Stuxnet (2010)
Хробак Stuxnet використовував чотири вразливості нульового дня в Windows) і був створений для атаки на програмовані логічні контролери Siemens, що керували центрифугами на іранському ядерному обʼєкті в Натанзі. Мережа обʼєкта була ізольована від інтернету, тож, імовірно, шкідливе ПЗ потрапило туди через USB-накопичувач. Stuxnet досі вважають одним із перших зразків кіберзброї, здатної завдавати фізичної шкоди обладнанню.
Kaseya VSA (2021)
2 липня 2021 року угруповання REvil використало вразливість нульового дня в Kaseya VSA — інструменті, через який постачальники керованих ІТ-послуг обслуговують мережі клієнтів. Через одну ланку зловмисники дісталися до сотень компаній: за оцінкою Kaseya, постраждали від 800 до 1500 підприємств. Виправлення компанія випустила лише 11 липня.
Oracle E-Business Suite (2025)
Наприкінці вересня 2025 року керівники багатьох компаній отримали листи від угруповання, що називало себе Cl0p, з твердженнями про викрадення даних із систем Oracle E-Business Suite. Розслідування GTIG показало, що вимогам передували місяці зломів: вразливості CVE-2025-61882 і/або CVE-2025-61884 експлуатували як zero-day щонайменше з 9 серпня 2025 року — за кілька тижнів до виходу виправлення.
WannaCry і NotPetya: чому це не атаки нульового дня
У багатьох оглядах ці атаки 2017 року наводять як класичні приклади zero-day. Насправді обидві використовували вразливість у протоколі SMB Windows, яку Microsoft закрила оновленням MS17-010 ще 14 березня 2017 року. Експлойт EternalBlue для неї, ймовірно, розробило Агентство національної безпеки США, а у квітні 2017 року його оприлюднило угруповання Shadow Brokers.
WannaCry почав поширюватися 12 травня 2017 року — майже через два місяці після виходу патча. За даними Європолу, програма-вимагач уразила понад 200 тисяч жертв щонайменше у 150 країнах. Шкоди зазнали саме ті, хто не встановив доступне оновлення.
NotPetya, що вразив Україну 27 червня 2017 року, теж не був атакою нульового дня. За даними CISA, шкідливе ПЗ поширювалося через скомпрометоване оновлення української бухгалтерської програми M.E.Doc, а всередині мереж — зокрема через EternalBlue. Хоча NotPetya показував вимогу викупу, британський Національний центр кібербезпеки встановив, що розшифрування файлів не було передбачене взагалі. У лютому 2018 року уряд Великої Британії офіційно поклав відповідальність за атаку на російських військових; основними цілями, за його оцінкою, були фінансовий, енергетичний і державний сектори України.
Обидва випадки показують, що неоновлена система вразлива не менше, ніж система без виправлення взагалі.
Читайте такожЯк захистити організацію від програм-вимагачів: рекомендації CISA, ФБР і АНБ та план дій під час атаки
Як штучний інтелект змінює пошук вразливостей
У прогнозі на 2026 рік GTIG очікувала, що ШІ пришвидшить перегони між зловмисниками та захисниками: перші автоматизуватимуть розвідку, пошук вразливостей і розробку експлойтів, другі — знаходитимуть і закриватимуть вразливості до того, як їх почнуть використовувати. Обидва сценарії справдилися вже в першій половині року.
7 квітня 2026 року Anthropic повідомила, що її модель Claude Mythos Preview знайшла та змогла експлуатувати вразливості нульового дня в усіх основних операційних системах і браузерах. Серед підтверджених знахідок — 27-річна помилка в OpenBSD, операційній системі з репутацією однієї з найзахищеніших, і 16-річна вразливість у бібліотеці FFmpeg, яку не помітили автоматизовані тести. На момент публікації понад 99% знайдених вразливостей ще не мали виправлень. Компанія не відкрила модель для широкого доступу і надала її лише обмеженому колу організацій у межах ініціативи Project Glasswing, щоб ті встигли закрити вразливості до появи подібних інструментів у зловмисників.
11 травня 2026 року GTIG описала перший відомий випадок, коли кіберзлочинці застосували ШІ-модель для пошуку та експлуатації вразливості нульового дня. Ідеться про обхід двофакторної автентифікації в популярному відкритому вебінструменті системного адміністрування. Google разом із розробником закрила вразливість, і, за оцінкою компанії, це могло зірвати заплановану масову атаку.
Для користувачів і адміністраторів висновок спільний: вікно між публікацією виправлення та першими атаками скорочується. Тому в Anthropic радять вмикати автоматичні оновлення всюди, де це можливо, і сприймати оновлення з виправленнями безпеки як термінові, а не планові.
Чи можна помітити атаку нульового дня
Антивірус, що спирається на сигнатури, не впізнає експлойт для невідомої вразливості. Проте дії зловмисників після проникнення часто залишають сліди. Насторожити мають такі ознаки:
несподівані збої або перезапуски застосунків чи операційної системи, особливо після відкриття вкладення чи посилання;
нові елементи в автозапуску або невідомі файли в системних папках;
мережеві зʼєднання з незнайомими адресами, підвищений вихідний трафік;
входи в облікові записи з незнайомих пристроїв чи місць, змінені налаштування безпеки;
вимкнений антивірус або інші засоби захисту, які ніхто не вимикав.
Людям із підвищеним ризиком — журналістам, правозахисникам, військовим — GTIG радить звертатися до фахівців, якщо вони отримали підозріле посилання чи вкладення або помітили незвичні збої застосунків чи ОС. Організаціям в Україні варто повідомляти про інциденти CERT-UA.
Як захиститися від атак нульового дня
Повністю убезпечитися від невідомої вразливості неможливо, але можна суттєво скоротити час, протягом якого вона становить загрозу, і ускладнити зловмисникам її використання.
Для користувачів
Встановлювати оновлення одразу. Автоматичні оновлення операційної системи, браузера й застосунків варто тримати увімкненими, а браузер — перезапускати, щоб оновлення набуло чинності. GTIG також радить регулярно перезавантажувати смартфон.
Перевіряти програми без автооновлення. WinRAR, програми для перегляду PDF, медіаплеєри та інші утиліти часто роками залишаються в старих версіях. Для WinRAR потрібна версія 7.13 або новіша. Програми, якими ніхто не користується, краще видалити.
Обережно ставитися до архівів і вкладень. Повістки, судові документи й «термінові» листи від державних органів — улюблені приманки угруповань, що атакують Україну. Архів від невідомого відправника не варто відкривати, навіть якщо він виглядає офіційно.
Увімкнути посилений захист на смартфоні. На iPhone це режим карантину (Lockdown Mode) у розділі «Параметри» → «Приватність і безпека», на Android — Розширений захист. Вони обмежують частину функцій, через які найчастіше атакують пристрої. Apple позиціює режим блокування для людей, які можуть стати мішенню складних цільових атак, тож для більшості користувачів це радше додатковий захід.
Не покладатися лише на VPN чи антивірус. VPN шифрує трафік, але не закриває вразливостей у програмах. Антивірус допомагає виявити наслідки зламу, однак не замінює оновлень.
Читайте такожЧому небезпечно завантажувати програми з неофіційних джерел і як безпечно встановлювати ПЗ на компʼютер
Для організацій
Пріоритезувати виправлення за реальними загрозами. Каталог CISA Known Exploited Vulnerabilities містить вразливості, які вже експлуатують у реальних атаках; CISA радить використовувати його як основу для визначення пріоритетів.
Вести облік усього ПЗ, включно з утилітами. Trend Micro радить окремо інвентаризувати програми, що не оновлюються через стандартні канали, і включити їх у процес керування оновленнями. Перелік програмних компонентів (SBOM) допомагає за лічені години знайти вразливі бібліотеки на кшталт Log4j.
Захистити периметр. За рекомендаціями GTIG, VPN-шлюзи, міжмережеві екрани та інші периметральні пристрої слід відокремлювати від критичних систем, а мережеві порти не відкривати в інтернет без потреби. Якщо виправлення ще немає, вразливий сервіс варто тимчасово вимкнути або ізолювати.
Стежити за поведінкою, а не лише за сигнатурами. Моніторинг аномальної активності, контроль запуску PowerShell і mshta, фільтрація RAR-вкладень на поштовому шлюзі допомагають помітити атаку навіть тоді, коли сама вразливість ще невідома.
Скоротити цикл оновлень. В Anthropic наголошують, що адміністраторам доведеться швидше розгортати оновлення безпеки, а оновлення залежностей із виправленнями CVE варто сприймати як термінові.
Ця стаття Вразливість нульового дня: що це таке, як працюють атаки zero-day і як від них захиститися раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
