ゼロデイ攻撃

ソフトウェアの脆弱性が発見されてから修正パッチが提供されるまでの間（0日目）を狙って行われる攻撃。対策が存在しない状態のため防御が非常に困難。

ソフトウェアの脆弱性が発見されてから、修正パッチが提供される前に、その脆弱性を悪用して行われる攻撃。対策が存在しない状態で攻撃されるため、防御が極めて困難。

ソフトウェアの脆弱性が発見されてから修正パッチが提供されるまでの間に、その脆弱性を悪用する攻撃。対策が存在しない期間を狙うため防御が困難であり、修正プログラムの迅速な適用が重要。

ソフトウェアの脆弱性が発見されてからセキュリティパッチが提供されるまでの間に、その脆弱性を悪用して行う攻撃。修正プログラムが存在しない（0日）段階での攻撃のため、従来のパッチ適用では防御できず、IPS等による検知が重要。

脆弱性が公表され修正プログラムが提供されるより前に、その脆弱性を悪用して行われる攻撃。パッチ適用では防げないため、仮想パッチ、振る舞い検知、権限の最小化、多層防御による被害の局所化が対策となる。

個々の脆弱性に一意の番号を付けて識別する仕組み。「CVE-2024-12345」のように公表年と連番で表し、米国のMITREが運営して、採番機関（CNA）とともに番号を割り当てている。製品ベンダー、脆弱性データベース、セキュリティ製品が同じ番号で同じ脆弱性を指せるため、情報の突合せが容易になる。

ソフトウェアやハードウェアの脆弱性を、その原因となる弱点の種類（タイプ）で分類した一覧で、MITREが管理する。「CWE-79」がクロスサイトスクリプティング、「CWE-89」がSQLインジェクションのように識別番号が付き、個々の脆弱性を指すCVEに対して、CWEは脆弱性の種類を指す。危険度の高い弱点をまとめたCWE Top 25も公表されている。

脆弱性の深刻度を、ベンダーに依存しない共通の基準で0.0〜10.0の数値で評価する仕組み。攻撃元区分、攻撃の複雑さ、機密性・完全性・可用性への影響などから算出する基本評価基準を中心に、攻撃コードの出現状況などを加味する評価基準や、利用者の環境を反映する環境評価基準がある。FIRSTが管理し、v3.1と2023年に公表されたv4.0が使われている。

システムやアプリケーションに既知の脆弱性や設定の不備がないかを、ツールや手作業で網羅的に検査すること。Webアプリケーション診断、ネットワークやOSを対象とするプラットフォーム診断などがあり、リリース前や定期的に実施して、見つかった問題を深刻度とともに報告し修正につなげる。実際に侵入を試みて目的を達成できるかを確かめるペネトレーションテストとは目的が異なる。

利用者が本来許されていない情報や機能にアクセスできてしまう脆弱性。URLやパラメータの書換えによる他人のデータの参照、一般利用者による管理機能の実行、サーバ側での認可チェックの欠落などが該当し、OWASP Top 10では最上位のリスクに挙げられている。

外部から受け取った入力値の形式、長さ、範囲、文字種などを適切に検証しないまま処理に使ってしまう脆弱性。SQLインジェクション、OSコマンドインジェクション、バッファオーバーフローなど多くの攻撃の原因となり、CWEではCWE-20として分類されている。