O que é uma vulnerabilidade de dia zero? Definição, exemplos e medidas de defesa

O termo “zero day” aparece constantemente nas notícias sobre segurança cibernética, mas o conceito costuma ser mal interpretado. Uma vulnerabilidade zero day não é necessariamente a mais perigosa em seu ambiente. Trata-se de uma categoria específica de vulnerabilidade que gera um tipo particular de risco, e compreender o que a diferencia de outras vulnerabilidades é essencial para gerenciá-la adequadamente.

A maioria das equipes de segurança superestima o risco de vulnerabilidades “zero-day” e subestima o risco, muito mais comum, de vulnerabilidades conhecidas sem patch. As defesas que fecham a janela das vulnerabilidades “zero-day” são, em grande parte, as mesmas que reduzem a exposição ao panorama mais amplo de vulnerabilidades. Compreender essa distinção é o que permite que as equipes de TI e os MSPs aloquem seus esforços de segurança de forma precisa, em vez de reativa. Leia o Relatório Kaseya sobre a Situação dos MSPs de 2026 — 69% dos MSPs oferecem gerenciamento de patches e atualizações como serviço, pois o intervalo entre a divulgação da vulnerabilidade e a aplicação do patch é um dos períodos mais críticos na segurança de TI.

Corrija vulnerabilidades mais rapidamente com o gerenciamento automatizado de patches.

O Kaseya VSA 10 automatiza a aplicação de patches no sistema operacional, no navegador e em aplicativos de terceiros em todos os terminais, reduzindo o intervalo de tempo entre a divulgação de uma vulnerabilidade de dia zero e a proteção do seu ambiente.

Conheça o Kaseya VSA 10

O que é uma vulnerabilidade de dia zero?

Uma vulnerabilidade de dia zero é uma falha de segurança em software, hardware ou firmware que é desconhecida pelo fornecedor responsável por corrigi-la e, portanto, não possui patch disponível no momento em que é identificada ou explorada por invasores.

O termo se refere ao número de dias que o fornecedor teve para resolver o problema: zero. Quando uma vulnerabilidade é descoberta por um pesquisador e divulgada de forma responsável ao fornecedor, este tem tempo para desenvolver e lançar uma correção antes que a vulnerabilidade se torne amplamente conhecida e seja explorada. Um “zero day”, por outro lado, é explorado antes mesmo de qualquer divulgação ocorrer ou é divulgado publicamente sem que o fornecedor seja notificado previamente, deixando uma janela de tempo em que os sistemas ficam vulneráveis e não há correção disponível.

O termo também é escrito como “0-day”, e “zero-day” pode se referir à própria vulnerabilidade, ao exploit que a aproveita ou ao ataque que utiliza o exploit. Cada um tem um significado distinto, e é por isso que a terminologia se torna confusa.

Assim que uma correção é lançada, a vulnerabilidade deixa de ser, tecnicamente, uma vulnerabilidade de dia zero. Ela passa a ser uma vulnerabilidade conhecida. Mas essa transição não elimina o risco. A janela de exposição prática é o período entre o momento em que um invasor toma conhecimento de uma vulnerabilidade e o momento em que uma organização aplica a correção correspondente; e, para a maioria das organizações, essa janela pode se estender por semanas ou meses, mesmo após a disponibilização da correção.

Vulnerabilidade de dia zero, exploração e ataque: definição dos três termos

Esses três termos costumam ser usados de forma intercambiável, mas descrevem coisas diferentes.

Uma vulnerabilidade de dia zero é uma falha subjacente no software ou firmware, ou seja, uma brecha de segurança que existe, mas para a qual ainda não há correção. Trata-se de uma condição, não de uma ação.

Uma exploração de dia zero é o código, a ferramenta ou a técnica que tira proveito dessa vulnerabilidade. Pesquisadores de segurança utilizam essas explorações para demonstrar que uma vulnerabilidade é real e pode ser explorada. Os invasores as utilizam como armas. Quando a comunidade de segurança em geral fala que uma vulnerabilidade de dia zero está “sendo explorada na prática”, isso significa que uma exploração direcionada à vulnerabilidade foi empregada contra alvos reais.

Um ataque de dia zero é a operação que utiliza a exploração contra um alvo. Uma vulnerabilidade pode existir sem ser explorada. Uma exploração pode ser criada sem ser utilizada em um ataque. O ataque é o momento em que uma vulnerabilidade causa danos mensuráveis.

Essa distinção é importante para a resposta a incidentes. Uma organização que identifica um comportamento de exploração em um sistema pode estar sofrendo um ataque de dia zero, mas o mesmo comportamento também poderia indicar a exploração de uma vulnerabilidade conhecida que ainda não foi corrigida. Distinguir entre as duas situações requer uma capacidade de detecção que vá além da comparação de assinaturas.

Como as vulnerabilidades de dia zero são descobertas

As vulnerabilidades de dia zero são descobertas por meio de várias vias distintas, e a via é importante porque determina a rapidez com que uma correção é disponibilizada.

Pesquisadores de segurança que identificam vulnerabilidades geralmente seguem processos de divulgação responsável, notificando o fornecedor de forma confidencial e concedendo-lhe um prazo definido (geralmente 90 dias, conforme o padrão do Google Project Zero) para desenvolver uma correção antes da divulgação pública. Nesses casos, pode já existir uma correção no dia em que a vulnerabilidade se torna de conhecimento público, reduzindo significativamente o verdadeiro período de “dia zero”.

Grupos ligados a Estados-nação e organizações criminosas sofisticadas investem recursos substanciais em pesquisas de vulnerabilidades com o objetivo específico de identificar falhas exploráveis antes que os fornecedores o façam. As vulnerabilidades “zero-day” descobertas dessa forma são normalmente transformadas em armas de ataque imediatamente e mantidas em segredo por meses ou anos para preservar seu valor como ferramentas de ataque. Essa é a categoria mais perigosa, pois essas vulnerabilidades já existem e estão sendo ativamente exploradas antes que qualquer pessoa fora do grupo atacante saiba de sua existência.

O mercado de vulnerabilidades “zero-day” é uma economia real e substancial. Corretores compram e vendem exploits “zero-day”, tendo como compradores tanto agências de inteligência governamentais quanto organizações criminosas. Uma vulnerabilidade “zero-day” em um software amplamente utilizado pode render somas significativas nesse mercado, criando um incentivo financeiro para que as vulnerabilidades sejam identificadas e acumuladas, em vez de divulgadas de forma responsável.

A implicação prática para os defensores é que, muitas vezes, não é possível saber se existe uma vulnerabilidade “zero day” no software que você utiliza e se ela está sendo ativamente comercializada ou explorada, pois a característica definidora de uma verdadeira vulnerabilidade “zero day” é que ela é desconhecida tanto pelo fornecedor quanto pelo público. A defesa deve se basear na redução do impacto de uma exploração bem-sucedida, em vez de na prevenção da existência da vulnerabilidade.

Vulnerabilidades de dia zero x vulnerabilidades conhecidas: qual é a mais perigosa?

Para a maioria das organizações, as vulnerabilidades conhecidas sem patch representam um risco operacional maior do que as vulnerabilidades de dia zero.

As vulnerabilidades de dia zero recebem grande atenção por serem novas e porque ainda não existem correções. Mas elas também são relativamente raras no panorama mais amplo das vulnerabilidades. O volume de vulnerabilidades documentadas publicamente e corrigíveis em softwares de uso comum, a qualquer momento, é enorme. A grande maioria das explorações bem-sucedidas em ambiente real utiliza vulnerabilidades conhecidas, muitas vezes vulnerabilidades para as quais já existem correções disponíveis há meses ou anos.

Os dados por trás disso não deixam margem para dúvidas. A maioria das violações significativas que são investigadas e atribuídas publicamente acaba envolvendo vulnerabilidades conhecidas que foram exploradas, e não verdadeiras vulnerabilidades “zero-day”. Os invasores buscam o caminho de menor resistência. Um servidor Exchange sem patch, com um CVE de 18 meses atrás, é mais acessível do que uma vulnerabilidade “zero-day” recém-descoberta, cuja identificação levou meses à equipe de pesquisa de um Estado-nação.

A implicação prática é que a melhor defesa contra todo o panorama de vulnerabilidades — tanto as de dia zero quanto as já conhecidas — é, em grande parte, a mesma: um gerenciamento rápido e automatizado de patches que minimize o intervalo entre o momento em que um patch fica disponível e o momento em que é aplicado, combinado com um recurso de detecção comportamental capaz de identificar atividades de exploração, independentemente de a vulnerabilidade específica ser conhecida ou não.

As vulnerabilidades de dia zero exigem dois recursos adicionais que as vulnerabilidades conhecidas não exigem: a detecção comportamental, que identifica padrões de exploração sem depender de assinaturas conhecidas; e controles compensatórios, que limitam os danos quando uma vulnerabilidade não pode ser corrigida porque ainda não existe um patch disponível.

Exemplos notáveis de vulnerabilidades “zero-day”

Log4Shell (2021)

A vulnerabilidade crítica no Apache Log4j, uma biblioteca de registro de eventos em Java amplamente utilizada, foi divulgada publicamente em dezembro de 2021. Poucas horas após a divulgação, já havia início de exploração ativa em grande escala. A combinação da presença praticamente universal do Log4j em aplicativos Java corporativos e a gravidade da vulnerabilidade (execução remota de código com autenticação mínima exigida) tornou esse um dos eventos de vulnerabilidade “zero-day” mais significativos da última década. Organizações com gerenciamento automatizado de patches e inventário de ativos que identificaram sua exposição ao Log4j conseguiram priorizar e responder. Aquelas que não possuíam nenhum desses recursos passaram dias descobrindo sua exposição real, enquanto a exploração já estava em andamento.

ProxyLogon (Microsoft Exchange, 2021)

Um grupo chinês patrocinado pelo Estado explorou o ProxyLogon, um conjunto de vulnerabilidades no Microsoft Exchange Server, antes que a correção da Microsoft estivesse disponível. As vulnerabilidades permitiam a execução remota de código em servidores Exchange sem a correção instalada. Quando a Microsoft lançou as correções, milhares de servidores Exchange em todo o mundo já haviam sido comprometidos por meio de web shells que persistiram após a exploração inicial.

Vulnerabilidades “zero-day” do Chrome (em andamento)

O Google Chrome recebe regularmente correções de emergência para vulnerabilidades “zero-day” que estão sendo ativamente exploradas, pois os navegadores são softwares complexos diretamente expostos a conteúdos não confiáveis. O padrão é consistente: quando uma vulnerabilidade “zero-day” é identificada como estando sendo explorada na prática, o Google lança uma correção de emergência, e as organizações que não automatizaram a aplicação de correções nos navegadores permanecem expostas até que a correção seja implantada manualmente.

Stuxnet (2010) e EternalBlue (2017)

O Stuxnet continua sendo o exemplo mais emblemático de uma arma de “zero-day” desenvolvida por um Estado-nação. Descoberto em 2010, ele explorou simultaneamente quatro vulnerabilidades “zero-day” distintas do Windows para entregar uma carga útil que causou danos físicos às centrífugas industriais do programa nuclear do Irã. Ele continua sendo notável por demonstrar que a exploração de vulnerabilidades “zero-day” pode causar consequências físicas no mundo real, e não apenas perda de dados.

O EternalBlue, uma exploração de dia zero originalmente desenvolvida pela NSA e divulgada em 2017, tinha como alvo o protocolo SMBv1 do Windows. Ele se tornou o mecanismo de disseminação do WannaCry e do NotPetya, dois dos ataques cibernéticos mais destrutivos economicamente da história. A vulnerabilidade subjacente já contava com uma correção da Microsoft disponível na época em que o WannaCry foi lançado, mas milhões de sistemas sem a correção continuavam expostos; por isso, uma exploração de uma vulnerabilidade já divulgada ainda foi eficaz em escala catastrófica.

O padrão consistente observado nos incidentes de vulnerabilidades “zero-day” é o seguinte: as organizações que aplicaram correções rapidamente após sua disponibilização, ou que contavam com sistemas de detecção comportamental capazes de identificar tentativas de exploração, conseguiram conter os danos de forma significativamente mais eficaz do que aquelas que não o fizeram.

Defesa contra ameaças de dia zero

A estratégia de defesa contra vulnerabilidades de dia zero é a mesma que se aplica ao panorama mais amplo de vulnerabilidades, com duas adições.

Minimizar a superfície de ataque

Quanto menos softwares estiverem em execução no ambiente, menores serão as vulnerabilidades potenciais do tipo “zero-day”. Remover softwares que não são usados ativamente, manter as extensões do navegador no mínimo necessário e reduzir os serviços expostos à internet limita as oportunidades de exploração. Uma vulnerabilidade do tipo “zero-day” em um software que você não executa não pode prejudicá-lo.

Gerenciamento rápido e automatizado de patches

A aplicação de patches não ajuda durante o período de “zero-day” propriamente dito, mas reduz drasticamente a exposição assim que um patch é lançado. A transição de uma vulnerabilidade “zero-day” para uma vulnerabilidade conhecida e, posteriormente, para uma vulnerabilidade corrigida deve ocorrer o mais rápido possível, medido em dias, não em semanas. O Kaseya VSA 10 e o Datto RMM automatizam a implantação de patches em todos os terminais gerenciados no próprio dia do lançamento, com fluxos de trabalho de aprovação configuráveis baseados em anéis para alterações que exigem testes antes da implantação em produção.

Detecção comportamental de EDR

As plataformas EDR que detectam comportamentos de exploração, injeção de processos, escalonamento de privilégios, processos filhos inesperados e conexões de rede incomuns provenientes de processos confiáveis são capazes de identificar explorações de dia zero, mesmo sem uma assinatura conhecida para a vulnerabilidade específica. O Datto EDR oferece detecção comportamental que identifica padrões de ataque, em vez de se limitar apenas ao malware conhecido, o que o torna relevante durante a janela de dia zero pré-correção, quando ainda não existe uma assinatura disponível.

Segmentação de rede

Limitar o alcance de um sistema comprometido na rede reduz o alcance do dano quando uma vulnerabilidade “zero day” é explorada com sucesso. Um invasor que explorar uma vulnerabilidade “zero day” em uma estação de trabalho não deve ter automaticamente acesso a um controlador de domínio, a um servidor de arquivos ou a um sistema de backup. A segmentação não impede a exploração, mas transforma um comprometimento catastrófico em um comprometimento contido.

Gerenciamento de vulnerabilidades

A varredura contínua, que identifica softwares sem patch em todo o ambiente e prioriza a correção com base na disponibilidade de exploits e na criticidade dos ativos, oferece visibilidade sobre os pontos de exposição mais urgentes. Quando uma nova vulnerabilidade “zero-day” é anunciada, os dados de gerenciamento de vulnerabilidades mostram imediatamente quais ativos são afetados e com que rapidez é necessária uma resposta.

Informações sobre ameaças

Os feeds que monitoram campanhas ativas de exploração de vulnerabilidades “zero-day” fornecem um alerta antecipado — muitas vezes dias antes da disponibilidade de uma correção — de que uma vulnerabilidade específica está sendo explorada ativamente. Isso permite que controles compensatórios (alterações de regras, desativação temporária de recursos, restrições de acesso à rede) sejam aplicados enquanto a correção está sendo desenvolvida.

Defesa contra vulnerabilidades de dia zero para MSPs: o problema da janela de atualização

Para os MSPs, o desafio da defesa contra vulnerabilidades de dia zero não é conceitual. É operacional. O período entre o momento em que uma correção para uma vulnerabilidade de dia zero fica disponível e o momento em que essa correção é implantada em dezenas de ambientes de clientes é a verdadeira janela de exposição e, sem automação, esse período se prolonga.

Considere como funciona a coordenação manual de patches em grande escala. Uma vulnerabilidade crítica de “zero day” em um navegador é divulgada numa terça-feira. A equipe do MSP identifica a exposição, avalia quais clientes estão afetados, coordena as janelas de manutenção com cada cliente, programa a implantação e verifica o sucesso cliente por cliente. Na melhor das hipóteses, esse processo é concluído em três a quatro dias para 30 clientes. Em ambientes onde os invasores começam a atacar vulnerabilidades de alta gravidade recém-divulgadas dentro de 24 a 48 horas após a divulgação, esse intervalo de tempo faz toda a diferença.

Com o Kaseya VSA 10 ou o Datto RMM, a mesma implantação é realizada no mesmo dia, de acordo com uma política automatizada de patches, com um processo de preparação em anéis que realiza testes em um grupo de validação antes da implantação completa em produção. A coordenação da janela de manutenção é pré-configurada. A verificação ocorre automaticamente. A janela de exposição do MSP é reduzida de dias para horas para os clientes que operam sob essa política.

É por isso que, para 69% dos MSPs que oferecem gerenciamento de patches como serviço, isso não é apenas uma linha de negócios, mas sim a capacidade operacional que torna a janela de “zero-day” defensável. O serviço é o sistema. Conheça o gerenciamento automatizado de patches do Kaseya VSA 10 para descobrir o modelo operacional que torna a resposta rápida a divulgações de vulnerabilidades “zero-day” escalável em um ambiente com vários clientes.

As vulnerabilidades de “dia zero” ganham as manchetes. Mas são as vulnerabilidades conhecidas e sem correção que causam a maior parte dos danos reais. A estratégia de defesa que lida com ambas é a mesma: reduzir a superfície de ataque, automatizar a aplicação de patches, implementar a detecção comportamental e segmentar a rede. As organizações e os MSPs que tiram o máximo proveito dessas práticas são aqueles que as aplicam de forma contínua, em vez de recorrer a elas apenas em resposta à próxima divulgação de grande repercussão. Nessa altura, a brecha já está aberta.

Pontos principais

• Uma vulnerabilidade de dia zero é uma falha de segurança para a qual ainda não há patch disponível. Um exploit de dia zero é o código que tira proveito dessa falha. Um ataque de dia zero é a operação que utiliza esse exploit. Os três termos descrevem conceitos distintos.
• A maioria dos ataques bem-sucedidos em ambiente real aproveita vulnerabilidades conhecidas e corrigíveis, em vez de verdadeiras vulnerabilidades de dia zero. Para a maioria das organizações, o gerenciamento ágil de patches reduz o risco de forma significativamente maior do que os controles específicos para vulnerabilidades de dia zero, por si só.
• A detecção comportamental de EDR, a segmentação de rede e o gerenciamento de vulnerabilidades fornecem os controles compensatórios necessários durante o período pré-correção, quando ainda não há correção disponível.
• Para os MSPs, o desafio operacional é a janela de aplicação de patches nos ambientes dos clientes. O gerenciamento automatizado de patches com base em políticas, por meio do Kaseya VSA 10 ou do Datto RMM, reduz essa janela de dias para horas.