Zero-Day أو “ثغرة يوم الصفر” هي ثغرة في برنامج أو جهاز لم يكن لدى الشركة المطوّرة أي يوم لإصلاحها، أي أن عدد الأيام المتاحة للمدافعين منذ علمهم بها يساوي صفراً. ويُستخدم المصطلح بثلاثة معانٍ متقاربة: الثغرة نفسها (Zero-Day Vulnerability)، والكود الذي يستغلها (Zero-Day Exploit)، والهجوم الذي يستخدمها (Zero-Day Attack).
دورة حياة ثغرة يوم الصفر
- وجود خطأ برمجي في المنتج دون أن يعلم به أحد.
- اكتشافه من باحث أمني أو من مهاجم.
- إن كان المكتشف مهاجماً، يبدأ الاستغلال الصامت ضد أهداف مختارة، وقد يستمر ذلك شهوراً.
- رصد الهجوم أو إبلاغ الشركة، فتُصدر تحذيراً وإجراءات تخفيف مؤقتة، ثم تحديثاً (Patch).
- بعد نشر التحديث تتحول إلى N-Day، وغالباً تزداد الهجمات هنا لأن المهاجمين يحللون التحديث ويستهدفون من لم يثبّته.
أمثلة واقعية
من أشهر الأمثلة دودة Stuxnet التي اكتُشفت عام 2010 واستخدمت عدة ثغرات يوم صفر في Windows دفعة واحدة. وفي ديسمبر 2021 هزّت ثغرة Log4Shell (CVE-2021-44228) في مكتبة Log4j عالم التقنية، إذ بدأ استغلالها على نطاق واسع فور الإعلان عنها. وفي السنوات الأخيرة صارت أجهزة الحافة مثل جدران الحماية وبوابات VPN من Fortinet و Cisco و Ivanti و Palo Alto هدفاً متكرراً لهجمات يوم الصفر.
كيف تحمي مؤسستك؟
لا يمكن تحديث شيء لم يصدر تحديثه بعد، لذا تعتمد الحماية على تقليل الأثر وسرعة الاستجابة:
- تقليل المكشوف على الإنترنت: لا تعرض واجهات الإدارة للعامة، وأغلق الخدمات غير المستخدمة.
- تقسيم الشبكة (Segmentation) ومبدأ أقل الصلاحيات، حتى لا يتحول اختراق جهاز واحد إلى اختراق كامل.
- أدوات كشف تعتمد على السلوك مثل EDR و IDS بدلاً من التوقيعات فقط.
- متابعة نشرات الشركات المصنعة وقائمة CISA KEV للثغرات المستغلة فعلياً، وتطبيق إجراءات التخفيف فوراً ثم التحديث عند صدوره.
- مراقبة السجلات والبحث عن مؤشرات الاختراق (IoCs) بعد الإعلان، لأن الاختراق ربما حدث قبل علمك بالثغرة.
الفرق بين Zero-Day و CVE
CVE هو مجرد رقم تعريف موحد لثغرة معروفة علناً، أما Zero-Day فيصف توقيت الاستغلال مقارنة بعلم المطوّر. كثير من ثغرات يوم الصفر تحصل على رقم CVE فور الإعلان عنها، وبعضها يبقى مجهولاً لسنوات.
