混乱しやすいのは「0日」が何を数えているかです。攻撃が始まってからの日数ではありません。修正が出てからの日数です。

だから、修正が出た瞬間にゼロデイではなくなります。名前が変わるだけで、弱点そのものは同じです。ここが第3章につながる、この語のいちばん大事な性質です。

第1章 おわり — 次は第2章

米国CISAは、実際に悪用が確認された脆弱性だけを集めたカタログ（KEV）を公開しています。推測ではなく「使われた実績があるもの」の一覧です。

この全件を、CVE番号の発行年で分けてみました。CVE番号は脆弱性が公表された年に付きます。つまり「CVE-2026-…」なら今年公表されたもの、「CVE-2021-…」なら5年前から知られていたものです。

出典：CISA Known Exploited Vulnerabilities Catalog（カタログ版数 2026.08.14）の全件を筆者が集計。CVE発行年は脆弱性が公表された年の目安であり、ゼロデイであったかどうかを直接示すものではありません。

実際に悪用されている脆弱性の9割以上は、前の年までに公表済みでした。つまり、修正も情報も出ていた状態です。

今年追加されたものだけを見ても、同じ傾向です

同カタログより筆者集計。

下の行が重要です。脆弱性は、公表された年に悪用されるとは限りません。何年も放置されていたものが、あるとき攻撃キャンペーンの標的になります。

実際、このカタログに載っている最も古いものは2002年に採番されたCVEです。20年以上前の脆弱性が、いまだに「悪用が確認されている」リストに載っています。直していない機器が、どこかに残っているということです。

そして、5件に1件はランサムウェアに使われています

同じカタログには、その脆弱性がランサムウェア攻撃で使われたことが確認されているかという項目があります。集計すると349件（20.9%）——悪用が確認された脆弱性の5件に1件が、ランサムウェアの入口として実際に使われていました。

そしてその大半は、区間③（第3章）にいる脆弱性です。日本の統計も、同じことを示しています。

VPN機器の脆弱性は、その多くが公表され、修正も出ているものです。未知の攻撃で入られたのではなく、直せたところから入られています。

なお、KEVの全体像（登録の条件、ベンダー別の内訳、ランサムウェアでの悪用件数など）は CISA KEVとは？ で詳しく扱っています。この記事の集計はゼロデイかどうかという観点に絞ったもので、基準日が異なるため件数がわずかに違います。

第2章 おわり — 次は第3章

脆弱性は、発見から修正完了までに4つの区間を通ります。弱点そのものは変わらないのに、区間によって呼び名も、打てる手も変わります。

区間の整理と呼び名の対応は筆者によるものです。ワンデイ・Nデイは業界で使われる呼称で、標準化された定義はありません。

第2章の数字を、この表に当てはめてみてください。悪用されている脆弱性の93%は、区間③にいます。直す手段が存在するのに、適用が終わっていない状態です。

そして区間③には、ゼロデイにはない特徴があります。攻撃者にとっても簡単になることです。公表されれば技術的な詳細が出回り、検証用のコード（PoC）が公開されることもあります。公表は、守る側と攻める側の両方にとってスタートの合図です。

区間②で使われる「回避策」についても補足します。修正がまだ出ていない期間でも、打てる手はあります。

実務上の一般的な整理です。実際に有効な回避策は、開発元が公表する情報に従ってください。

「修正が出ていないから何もできない」ではありません。ゼロデイに対して打てる手は、この4つと第5章の多層防御です。

第3章 おわり — 次は第4章

EPSS・PoCは業界で広く使われる用語です。CVSSとKEVの詳細は各記事にまとめています。

よくある3つの誤解

第4章 おわり — 次は第5章

「ゼロデイは防げない」は正しい表現です。ただし、それは入口の話に限ればです。

攻撃者は、入っただけでは目的を達成できません。そこから権限を上げ、社内を探索し、データを集め、外へ送り出す——この一連の作業が必要です。そしてこの部分は、ゼロデイでも普通の攻撃でも同じです。

段階の整理は筆者によるものです。実際の攻撃は必ずしもこの順に進むとは限りません。

1行目しか防げない、ではありません。2〜6行目は防げます。これが「多層防御」と呼ばれる考え方の中身です。

第5章 おわり — 次は第6章

脆弱性は毎年数万件公表されます。全部に対応することは不可能です。だから順番が要ります。

優先順位の整理は筆者によるものです。公的に定められた順序ではありません。侵入経路の割合は警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』より。

5行目に注目してください。CVSSスコアの高い順に直すのは、直感に反して非効率です。理由は CVSSとは？ にまとめました——そのスコアは、あなたの環境を考慮していません。

その前に、答えられますか

第6章 おわり — 次は第7章

実務上の一般的な整理です。

5番が飛ばされがちです。公表前から悪用されていた場合、更新は「これ以上入られない」ようにするだけで、すでに入られている分はそのまま残ります。更新後にログを確認するところまでが1セットです。

ログが残っていなければ、この確認はできません。保存期間の考え方は ログ管理の課題 にまとめています。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ