Vulnerabilità Zero-Day: Cos'è, Come Funziona e Perché è Pericolosa (2026)

Nel mondo della sicurezza informatica, poche parole evocano timore quanto "zero-day". Rappresenta la situazione peggiore possibile: una vulnerabilità sconosciuta, già sfruttata, per cui non esiste ancora nessuna difesa disponibile.

Cos'è una vulnerabilità zero-day?

Una vulnerabilità zero-day (o zero-0-day) è una falla di sicurezza in un software, firmware o hardware che:

1. Non è ancora nota al produttore (vendor)
2. Non ha ancora una patch disponibile
3. Può già essere sfruttata da attaccanti

Il termine "zero-day" si riferisce al numero di giorni che il vendor ha avuto per rispondere: zero. La vulnerabilità viene sfruttata prima ancora che il produttore sappia della sua esistenza.

Quando la vulnerabilità viene scoperta e corretta, cessa di essere uno zero-day e diventa una CVE con una patch disponibile.

Il ciclo di vita di uno zero-day

1. Scoperta → 2. Sfruttamento segreto → 3. Disclosure → 4. Patch → 5. Remediation

1. Scoperta: Un ricercatore, un criminale o un'agenzia governativa scopre la vulnerabilità.

2. Sfruttamento segreto: L'attaccante sviluppa un exploit e lo usa in operazioni segrete. Questa fase può durare mesi o anni prima che il vendor ne sia a conoscenza.

3. Disclosure: La vulnerabilità viene rivelata al vendor (responsible disclosure) o diventa pubblica (full disclosure) o viene venduta.

4. Patch: Il vendor sviluppa e rilascia una correzione.

5. Remediation: Gli utenti e le organizzazioni applicano la patch.

Il pericolo maggiore è nel gap tra scoperta e patch: in questo periodo, gli attaccanti possono sfruttare la vulnerabilità senza che le vittime abbiano modo di proteggersi.

Chi scopre gli zero-day?

Ricercatori di sicurezza indipendenti: Professionisti e hacker etici che analizzano il codice alla ricerca di vulnerabilità. Molti partecipano a programmi bug bounty per ricevere ricompense.

Team di ricerca dei vendor: Aziende come Google Project Zero, Microsoft MSRC, Apple Security hanno team dedicati a trovare vulnerabilità nei propri prodotti e in quelli di terze parti.

Agenzie governative e servizi segreti: NSA, GCHQ, FSB e altre agenzie hanno investito enormemente nella ricerca di zero-day per scopi offensivi (cyberespionage, cyberwarfare).

Criminali informatici: Gruppi APT (Advanced Persistent Threat) e organizzazioni criminali cercano attivamente zero-day da monetizzare.

Il mercato degli zero-day

Esiste un mercato sofisticato — sia legale che illegale — per gli zero-day.

Mercato legale (broker)

Aziende come Zerodium comprano zero-day da ricercatori e li rivendono a governi, forze dell'ordine e servizi segreti. I prezzi sono altissimi:

• iOS (iPhone) full chain: fino a 2.5 milioni di dollari
• Android full chain: fino a 2.5 milioni di dollari
• Chrome RCE: fino a 500.000 dollari
• Windows LPE: fino a 400.000 dollari

Bug bounty (scoperta responsabile)

Vendor come Google, Microsoft, Apple e Meta pagano i ricercatori che segnalano le vulnerabilità responsabilmente. I programmi bug bounty creano un incentivo economico per non vendere le vulnerabilità a terze parti.

Mercato illegale (dark web)

Sul dark web, gli zero-day vengono venduti a organizzazioni criminali e attori state-sponsored. Meno trasparente e più rischioso del mercato legale, ma potenzialmente più redditizio.

Zero-day famosi nella storia

Stuxnet (2010): Il worm che ha sabotato le centrifughe nucleari iraniane usava ben quattro zero-day contemporaneamente. È considerato il primo cyberweapon della storia.

EternalBlue (2017): Zero-day NSA in SMBv1 di Windows, reso pubblico da Shadow Brokers. Usato da WannaCry e NotPetya per diffondersi globalmente.

Log4Shell (2021, CVE-2021-44228): Vulnerabilità RCE nella libreria Java Log4j. Colpiva centinaia di milioni di sistemi e fu uno degli zero-day più critici della storia moderna.

FORCEDENTRY (2021): Zero-day in iOS usato da NSO Group per installare spyware Pegasus su iPhone di giornalisti e attivisti senza alcuna interazione dell'utente.

Zero-day vs. vulnerabilità "N-day"

	Zero-day	N-day
Patch disponibile?	No	Sì
Vendor a conoscenza?	No	Sì
Rilevabile da scanner?	No	Sì
Difficoltà difesa	Molto alta	Dipende dalla tempestività del patching

Le vulnerabilità N-day (dove N = numero di giorni dalla disclosure della patch) sono vulnerabilità note e patchate, ma ancora ampiamente sfruttate perché molte organizzazioni non applicano le patch tempestivamente.

Come difendersi dagli zero-day

Poiché non esiste una patch specifica, la difesa si basa su principi di sicurezza generale:

Riduzione della superficie d'attacco

• Disinstalla software non necessario
• Esponi su internet solo i servizi strettamente necessari
• Usa browser e applicazioni aggiornati

Defense in depth (difesa a più livelli)

• EDR comportamentale — rileva comportamenti anomali tipici degli exploit anche senza firme
• Sandboxing — esegui file sospetti in un ambiente isolato
• Segmentazione di rete — limita il movimento laterale dopo una compromissione iniziale
• Principio del minimo privilegio — un exploit eseguito come utente standard causa meno danni di uno eseguito come amministratore

Patch rapidamente

Quando una patch è disponibile, applicala il prima possibile. La maggior parte degli attacchi riusciti non sfrutta zero-day, ma vulnerabilità con patch disponibile da mesi o anni.

Monitoraggio e threat intelligence

• Abbonati a feed di threat intelligence per essere avvisato di nuove minacce
• Monitora il feed CVE per le vulnerabilità critiche
• Tieni d'occhio il catalogo CISA KEV per le vulnerabilità attivamente sfruttate

Conclusione

Gli zero-day rappresentano il livello più alto di minaccia informatica: invisibili, inaspettati e privi di rimedio immediato. La risposta è una postura di sicurezza solida basata sulla riduzione del rischio, non sulla illusione di eliminarlo completamente. Vuoi approfondire come funzionano gli exploit e come difendersi? Esplora i corsi gratuiti di Pentevo Academy.