Zero day: significato, esempi e cosa fare in azienda

Zero day (o zero-day) indica una vulnerabilità di un software o di un dispositivo che gli attaccanti sfruttano prima che il produttore abbia rilasciato una correzione. Il nome dice proprio questo: quando l'attacco comincia, chi deve correggere il difetto ha avuto zero giorni per farlo. Per chi lo subisce, aggiornare non basta, perché l'aggiornamento ancora non esiste.

Qui sotto la definizione precisa, la differenza tra vulnerabilità, exploit e attacco, un caso reale del 2025, i numeri di Google Threat Intelligence Group e cosa può fare un'azienda nelle settimane in cui la patch non c'è, compreso quello che chiedono la NIS2 e le misure ACN.

Cosa significa zero day

Google Threat Intelligence Group (GTIG), che ogni anno pubblica un'analisi degli zero-day sfruttati, li definisce come vulnerabilità sfruttate in modo malevolo, in attacchi reali, prima che una patch fosse resa pubblicamente disponibile. È la definizione che usa nel rapporto 2025 Zero-Days in Review, pubblicato il 5 marzo 2026.

Il glossario del NIST mette l'accento su un altro aspetto: un attacco zero-day sfrutta una vulnerabilità hardware, firmware o software non conosciuta in precedenza. Le due letture non si contraddicono, guardano lo stesso problema da due lati. Per chi gestisce i sistemi conta la prima: un difetto può essere già noto al produttore e restare zero-day finché la correzione non è pubblicata, perché fino a quel momento non c'è niente da installare.

Vulnerabilità, exploit, attacco: tre cose diverse

• Vulnerabilità zero-day: il difetto nel codice o nella configurazione di un prodotto, per cui non esiste ancora una patch.
• Exploit zero-day: il codice o la tecnica che sfrutta quel difetto per ottenere qualcosa, di solito l'esecuzione di comandi o privilegi più alti.
• Attacco zero-day: l'uso dell'exploit contro un bersaglio reale.

Spesso un exploit non basta da solo. GTIG riporta che nel 2025 più catene di exploit scoperte contenevano tre o più vulnerabilità usate insieme per arrivare a un singolo obiettivo, mentre in altri casi un solo difetto è bastato perché colpiva il componente giusto.

Zero-day e n-day

Una vulnerabilità resta zero-day solo fino al rilascio della patch. Da lì diventa una n-day: Mandiant, nell'analisi dei tempi di sfruttamento del 2023, chiama così le vulnerabilità sfruttate per la prima volta dopo che le patch sono disponibili. Il rischio non sparisce, cambia destinatario: da quel momento è esposto chi non ha ancora aggiornato. Nella stessa analisi, delle n-day sfruttate nel 2023 il 12% lo è stato entro un giorno dalla patch, il 29% entro una settimana e il 56% entro un mese.

Come si svolge un attacco zero-day: un caso del 2025

Il rapporto GTIG ricostruisce un caso che mostra bene le fasi. A fine settembre 2025 un gruppo che si presentava con il marchio di estorsione CL0P ha mandato un gran numero di email a dirigenti di molte organizzazioni, sostenendo di aver rubato dati dai loro ambienti Oracle E-Business Suite. Secondo GTIG la campagna seguiva mesi di intrusioni: le vulnerabilità CVE-2025-61882 e/o CVE-2025-61884 erano state sfruttate come zero-day già dal 9 agosto 2025, settimane prima che esistesse una patch, con attività sospette che risalivano al 10 luglio.

Oracle ha pubblicato il Security Alert per CVE-2025-61882 il 4 ottobre 2025: una vulnerabilità sfruttabile da remoto senza autenticazione, che può portare all'esecuzione di codice. Insieme alla correzione, l'alert riportava gli indicatori di compromissione (indirizzi IP, comandi osservati, file) per rilevare, cercare e contenere l'attacco. Il 6 ottobre la CISA l'ha aggiunta al suo catalogo delle vulnerabilità sfruttate, dove oggi la scheda la indica come usata in campagne ransomware.

Il caso insegna tre cose:

1. La finestra è lunga e silenziosa. Tra il primo sfruttamento osservato da GTIG e l'alert del produttore sono passate circa otto settimane, in cui nessun aggiornamento era disponibile.
2. Ci si accorge dagli effetti. Il primo segnale pubblico della campagna è stato l'email di estorsione, non l'intrusione.
3. Dopo la patch la domanda è doppia. Non basta chiedersi se si è aggiornato: bisogna chiedersi se si era già stati colpiti prima, e per rispondere servono i log del periodo precedente su cui cercare gli indicatori pubblicati.

Quanti sono e cosa colpiscono

Secondo il rapporto GTIG sul 2025:

• Gli zero-day sfruttati nel 2025 sono stati 90, contro i 78 del 2024 e i 100 del 2023, dentro la fascia tra 60 e 100 osservata nei quattro anni precedenti.
• 43 (il 48%) hanno colpito software e apparati aziendali, il valore più alto da quando GTIG li conta, in numero e in proporzione. Apparati di rete e di sicurezza restano molto presi di mira per ottenere l'accesso iniziale.
• 14 riguardavano dispositivi di perimetro (router, switch, appliance di sicurezza), un numero che secondo GTIG sottostima il fenomeno: su questi apparati di solito non gira un EDR, quindi gli attacchi si vedono meno.
• I sistemi operativi, desktop e mobile, sono stati la categoria più colpita: 39 zero-day, il 44% del totale.
• 9 sono stati attribuiti a gruppi con motivazione economica, confermata o probabile, e in due casi lo sfruttamento ha portato al rilascio di ransomware.

GTIG avverte che i conteggi possono cambiare man mano che emergono incidenti passati, e che il rapporto copre gli zero-day che ha tracciato, non necessariamente tutti.

I dati più recenti segnano un aumento, che GTIG stessa definisce contenuto. Nell'analisi Vulnerability Discovery and Exploitation Trends in the AI Era del 30 settembre 2026, GTIG conta in media 11 zero-day sfruttati al mese tra gennaio e agosto 2026, contro 8 al mese nel 2025, con un salto a 22 nel solo agosto. Gli zero-day restano il 62% delle vulnerabilità sfruttate nel periodo, ma solo lo 0,23% delle vulnerabilità pubblicate nel 2026 è stato visto sfruttato. Secondo GTIG, la crescita delle vulnerabilità sfruttate nel complesso viene soprattutto dalla velocità con cui vengono trasformate in armi le n-day, più che da un'ondata di nuovi zero-day.

Il rapporto sul 2025 ricorda anche che lo sfruttamento di vulnerabilità resta il primo vettore di accesso iniziale nelle indagini di incident response di Mandiant, davanti a credenziali rubate e phishing.

Perché l'aggiornamento non basta, e perché resta indispensabile

Davanti a uno zero-day il patch management non ha niente da installare. Restano due leve: ridurre ciò che un attaccante può raggiungere, e accorgersi in fretta di quello che succede dopo l'accesso. Lo sfruttamento è solo una delle fasi descritte dalla cyber kill chain: dopo vengono installazione, comando e controllo e azioni sugli obiettivi, e queste lasciano tracce anche quando il primo passo era invisibile.

Appena la patch esce, però, la velocità torna decisiva. Mandiant ha misurato per le vulnerabilità pubblicate nel 2023 un tempo medio di sfruttamento di cinque giorni, calcolato escludendo 15 valori anomali (includendoli la media sale a 47 giorni). Nel 2018-2019 era di 63 giorni. Mandiant stessa considera queste stime prudenti, perché si basano sulla prima data di sfruttamento resa nota: i tempi reali sono quasi certamente più brevi.

Cosa fare in azienda

Nessuna misura elimina gli zero-day. Le indicazioni che GTIG elenca nel rapporto sul 2025, insieme alla pratica di chi gestisce incidenti, si possono raccogliere così:

1. Sapere cosa si ha. Un inventario aggiornato degli asset, e per il software una SBOM (distinta dei componenti), permettono di capire in poche ore se una libreria colpita da uno zero-day è presente in casa. GTIG cita come esempio Log4j.
2. Ridurre l'esposizione. Non esporre su internet porte e interfacce di gestione che non servono, togliere applicazioni e disattivare servizi e funzioni non usati, anche quelli attivi di default.
3. Segmentare. DMZ, firewall e VPN separati dalla rete interna e dai domain controller, così un apparato di perimetro compromesso non diventa un accesso a tutto.
4. Avere una corsia d'emergenza. Un processo per scavalcare il change management ordinario quando una vulnerabilità chiede di intervenire subito.
5. Mitigare quando la patch non c'è. Isolare sistemi e componenti con misure provvisorie, come disattivare il servizio vulnerabile o bloccare porte specifiche al perimetro, applicando le indicazioni del produttore appena escono.
6. Vedere quello che le patch non coprono. Monitoraggio continuo e rilevamento delle anomalie su sistemi e rete, una baseline dei processi per riconoscere l'uso anomalo di strumenti legittimi, file e token esca per accorgersi dei movimenti laterali. Per gli apparati di perimetro senza EDR, i loro log vanno raccolti e analizzati altrove.
7. Guardare indietro. Quando escono patch e indicatori di compromissione, cercarli nei log dei mesi precedenti. Senza log conservati, non c'è modo di sapere se l'attacco è arrivato prima della patch.
8. Dare le priorità con i dati di sfruttamento. Il catalogo Known Exploited Vulnerabilities della CISA elenca le vulnerabilità di cui è provato lo sfruttamento: 1.745 voci nella versione del 14 ottobre 2026. Un vulnerability assessment periodico dice quali di queste riguardano i propri sistemi.

Cosa chiedono la NIS2 e le misure ACN

Il D.Lgs. 138/2024, che recepisce la NIS2, elenca all'articolo 24, comma 2, lettera e), tra gli elementi minimi delle misure di sicurezza la "sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità".

Le misure di base ACN (allegati 1 e 2 della determinazione 379907/2025, per soggetti importanti ed essenziali) traducono il principio in requisiti che toccano da vicino il caso zero-day:

• ID.RA-08, punto 1: vanno monitorati almeno i canali di comunicazione del CSIRT Italia ed eventuali CERT e ISAC di settore, per acquisire, analizzare e rispondere alle informazioni sulle vulnerabilità.
• ID.RA-08, punto 2: le vulnerabilità sono "prontamente risolte" con aggiornamenti di sicurezza o misure di mitigazione, ove disponibili, oppure accettando e documentando il rischio. Per uno zero-day, nelle prime settimane, la strada praticabile è la mitigazione.
• PR.PS-02, punto 2: gli ultimi aggiornamenti di sicurezza del produttore si installano "senza ingiustificato ritardo", in coerenza con il piano di gestione delle vulnerabilità.
• DE.CM-01, punto 1: almeno per i sistemi rilevanti servono strumenti tecnici per rilevare tempestivamente gli incidenti significativi.

Se uno zero-day viene sfruttato e l'incidente è significativo, scattano gli obblighi dell'articolo 25, comma 5: pre-notifica al CSIRT Italia entro 24 ore da quando se ne viene a conoscenza, notifica entro 72 ore e relazione finale entro un mese dalla notifica, che deve indicare anche la causa originale. Il percorso completo è nell'articolo sulla notifica degli incidenti NIS2.

Da dove partire

Un buon test è chiedersi cosa succederebbe domani se uscisse uno zero-day sulla VPN o sul firewall: in quante ore sapete se siete esposti, chi decide la mitigazione, dove sono i log degli ultimi tre mesi. Se una di queste risposte manca, è lì che conviene lavorare. Inventario, riduzione dell'esposizione, monitoraggio continuo e risposta agli incidenti sono il lavoro dei nostri servizi di cybersecurity, e si può partire da una verifica di quello che c'è già.