Zranitelnost nultého dne

Šablona:Infobox Kybernetická hrozba

Zranitelnost nultého dne (z anglického originálu zero-day vulnerability, zkráceně často označována jako 0-day) je bezpečnostní chyba v počítačovém softwaru, hardwaru nebo firmwaru, o které její výrobce či vývojář neví, nebo pro ni dosud nevydal bezpečnostní opravu (tzv. patch). Termín „nultý den“ indikuje, že vývojáři mají přesně nula dní na vyřešení problému předtím, než může být chyba zneužita, protože zranitelnost je již v aktivním využívání útočníky, nebo je veřejně známa na kyberzločineckých fórech.

Tento typ kybernetické hrozby představuje jedno z největších rizik pro informační bezpečnost. Dokud není k dispozici oficiální oprava, klasické bezpečnostní mechanismy (například antivirové programy spoléhající na databázi známých signatur) nedokážou hrozbu efektivně detekovat. Zranitelnosti nultého dne jsou využívány pro průniky do kritických infrastruktur, průmyslovou špionáž, šíření ransomwaru a útoky na vládní i korporátní sítě.

📝 Popis a princip fungování

Životní cyklus zranitelnosti nultého dne se skládá z několika fází, které definují takzvané „okno zranitelnosti“ (vulnerability window). Toto okno představuje časový úsek, během kterého jsou uživatelé a organizace zcela nechráněni.

Kybernetický útok nultého dne obvykle probíhá v následujících krocích:

Zavedení chyby: Vývojář neúmyslně vytvoří chybu ve zdrojovém kódu aplikace (například špatné ošetření vstupních dat, chyba v alokaci paměti).
Objevení: Kybernetický útočník, nebo skupina označovaná jako APT (pokročilá trvalá hrozba), objeví tuto chybu dříve než samotný výrobce softwaru.
Tvorba exploitu: Útočník naprogramuje specifický kód, tzv. exploit, který zranitelnost využije k vykonání škodlivé aktivity (např. vzdálené spuštění kódu nebo zvýšení uživatelských práv).
Aktivní zneužití: Exploit je nasazen do reálného prostředí (in-the-wild exploitation). V této fázi probíhá samotný útok na vybrané cíle.
Odhalení a zveřejnění: Výrobce softwaru, bezpečnostní analytici nebo uživatelé si všimnou neobvyklé aktivity a chybu identifikují. Tím se zranitelnost stává známou.
Vydání opravy: Vývojáři vytvoří a publikují bezpečnostní záplatu. V tomto okamžiku přestává být chyba zranitelností nultého dne, stává se z ní takzvaná zranitelnost „n-tého dne“.

Problémem je, že i po vydání opravy mnoho organizací otálí s její aplikací. Útočníci proto mohou stejný exploit používat ještě měsíce či roky po zveřejnění záplaty proti subjektům, které mají zanedbaný patch management.

🔬 Technická klasifikace

Zranitelnosti nultého dne se mohou vyskytovat v mnoha formách, přičemž nejčastěji spadají do jedné z následujících technických kategorií:

Poškození paměti (Memory Corruption): Zahrnuje chyby jako přetečení bufferu (buffer overflow) nebo použití paměti po jejím uvolnění (Use-After-Free). Útočník může do paměti zapsat vlastní kód a následně ho nechat systémem vykonat.
Logické chyby (Logic Flaws): Chyby v návrhu architektury, které umožňují obejít autentizaci nebo autorizaci. Systém funguje po technické stránce správně, ale pravidla, kterými se řídí, jsou děravá.
Nedostatečné ošetření vstupů (Improper Input Validation): Zahrnuje techniky jako SQL injection nebo XSS. Systém přijme od uživatele data a interpretuje je jako příkazy.
Chyby souběhu (Race Conditions): Situace, kdy systém provádí více operací současně (Time-of-Check to Time-of-Use), čehož útočník využije k modifikaci dat mezi jejich kontrolou a samotným zpracováním.

🌍 Ekosystém a trh

Obchod se zranitelnostmi nultého dne představuje lukrativní odvětví, které se dělí na tři základní trhy.

Na takzvaném „bílém trhu“ operují společnosti spravující programy bug bounty (např. HackerOne nebo Bugcrowd). Etničtí hackeři hledají chyby a reportují je přímo výrobcům softwaru za finanční odměnu. Odměny za kritické chyby v systémech iOS nebo Android mohou dosáhnout stovek tisíc až jednotek milionů dolarů.

Na „šedém trhu“ figurují brokeři (např. společnost Zerodium) nebo komerční dodavatelé sledovacích systémů (Commercial Surveillance Vendors – CSV), jako je izraelská společnost NSO Group (tvůrce spywaru Pegasus). Ti vykupují exploity nultého dne a následně je prodávají vládním agenturám, tajným službám či policii po celém světě.

Na „černém trhu“ (na dark webu) obchodují kyberzločinecké organizace. Zranitelnosti zde kupují provozovatelé ransomwarových kampaní nebo nezávislí útočníci, jejichž cílem je finanční zisk z vydírání firem.

⏳ Historie a vývoj

Do počátku nultých let 21. století byly útoky nultého dne spíše vzácné a vnímaly se jako vysoce akademická nebo úzce specializovaná záležitost. Zlom nastal v roce 2010 s objevením červa Stuxnet. Tento sofistikovaný malware, za nímž stály s největší pravděpodobností vlády Spojených států amerických a Izraele, využil hned čtyři různé zranitelnosti nultého dne v operačním systému Windows k sabotáži íránského jaderného programu.

Dalším historickým milníkem byl rok 2017. Skupina označovaná jako Shadow Brokers ukradla a zveřejnila arzenál kybernetických zbraní z Národní bezpečnostní agentury USA (NSA). Mezi uniklými daty byl exploit s názvem EternalBlue, který byl vzápětí zneužit masivním globálním ransomwarovým útokem WannaCry. Přestože v době útoku WannaCry již byla k dispozici záplata od společnosti Microsoft, útok demonstroval devastující sílu zbraní původně vyvinutých jako zero-day exploity.

Během následujících let (2020–2024) se zneužívání zranitelností nultého dne zkomoditizovalo. Staly se standardní součástí arzenálu ransomwarových gangů a cílem útoků se staly nejen spotřebitelské systémy, ale především podniková infrastruktura.

🗓 Současnost a trendy (2025–2026)

V letech 2025 a 2026 zaznamenal bezpečnostní průmysl několik radikálních posunů. Dle analytických zpráv od organizací, jako je Google Project Zero a Google Threat Intelligence Group, došlo k absolutnímu poklesu času potřebného k vytvoření exploitu (time-to-exploit). V roce 2025 tento čas dosáhl záporných hodnot – to znamená, že průměrná zranitelnost je hromadně zneužívána ještě předtím, než je vůbec poprvé veřejně nahlášena v databázi CVE.

V roce 2025 bylo podle dat Google zneužito v reálných útocích celkem 90 zranitelností nultého dne. Téměř 50 % z nich mířilo na podnikovou infrastrukturu, tedy na VPN brány, firewally a perimetrová síťová zařízení. Tento posun je dán skutečností, že na specializovaná hardwarová zařízení nelze snadno nainstalovat moderní EDR (Endpoint Detection and Response) agenty, což z nich dělá ideální slepé místo pro útočníky.

Největším hybatelem změn se stala umělá inteligence a velké jazykové modely (LLM). AI systémy začaly být využívány k automatizovanému nacházení zranitelností nultého dne v open-source softwaru. Zásadním krokem byl projekt Big Sleep (spolupráce mezi Project Zero a DeepMind), který v letech 2025 a 2026 autonomně nalezl přes 20 dříve neznámých zranitelností (včetně kritické chyby v databázi SQLite a knihovně OpenSSL), aniž by k tomu potřeboval manuální lidskou analýzu. Tento fenomén zrychlil identifikaci chyb pro obránce i útočníky.

Nejčastěji napadaným výrobcem v roce 2025 byla společnost Microsoft (25 zneužitých zranitelností nultého dne), následovaná společnostmi Google a Apple.

⚔️ Nejvýznamnější nedávné útoky

Během let 2025 a 2026 došlo k několika útokům nultého dne, které zásadně otřásly globální IT infrastrukturou. Mezi nejzávažnější analyticky zdokumentované případy patří:

RoguePlanet a ShieldCrash (Microsoft Defender, 2026): Závažná zranitelnost zjištěná v integrovaném nástroji Microsoft Defender. Útočníci zneužili chybu souběhu (Race Condition), která jim umožnila lokální zvýšení privilegií až na nejvyšší systémovou úroveň (SYSTEM). Přestože Microsoft vydal záplatu označovanou jako ShieldBreak (CVE-2026-69414), analytici brzy objevili novou metodu (ShieldCrash), jak tuto opravu obejít a pokračovat v útocích na plně aktualizovaných systémech.
Cisco Secure Email Gateway (CVE-2026-76461): V září 2026 objevila společnost Cisco kritickou zranitelnost nultého dne ve svých zařízeních sloužících k analýze a zabezpečení e-mailové komunikace. Zranitelnost dosáhla skóre CVSS 9,8. Chyba v parsování příchozích e-mailů umožnila neautentizovanému útočníkovi vzdáleně vykonávat příkazy (Root RCE) přímo na operačním systému zařízení.
Chrome ANGLE (CVE-2026-5281): V dubnu 2026 byla nahlášena zero-day chyba v grafickém enginu prohlížeče Google Chrome. Zranitelnost ohrožovala přibližně 3,5 miliardy uživatelů a umožňovala kompromitaci zařízení pouhou návštěvou podvržené webové stránky bez jakékoliv další interakce ze strany uživatele.
Útoky na VMware vCenter (Skupina UNC3886): Čínská státem sponzorovaná skupina UNC3886 využívala neznámou zranitelnost ve virtualizační platformě od VMware v průběhu roku 2025. Průzkum společnosti Mandiant v roce 2026 prokázal, že skupina měla tuto zranitelnost nultého dne k dispozici celých 18 měsíců, než se ji podařilo objevit bezpečnostní komunitě.
Narušení Atlas VPN: Útok zneužívající zero-day trhlinu, která umožňovala škodlivým webům zjistit skutečnou IP adresu uživatele, a tím kompromitovat základní účel virtuální privátní sítě.

📈 Statistiky a data

Následující statistiky jsou agregovány z veřejných databází projektu Google Project Zero a organizace Google Threat Intelligence Group (GTIG). Data reflektují potvrzené incidenty, kdy byly zranitelnosti nultého dne aktivně zneužity v takzvaném reálném prostředí (in-the-wild).

Vývoj počtu zneužitých zranitelností nultého dne (2014–2026)

Rok	Počet zneužitých zranitelností nultého dne
2014	6
2015	28
2016	14
2017	17
2018	14
2019	13
2020	19
2021	58
2022	41
2023	100
2024	78
2025	90
2026	Data pro celý rok nejsou zatím dostupná

Nárůst počtu zranitelností v posledních letech neodráží nutně jen zhoršení kvality zdrojového kódu. Jde o kombinaci vyšších investic vlád do vývoje kybernetických zbraní, masivního rozvoje komerčních platforem pro prodej spywaru a zároveň mnohem lepších a propracovanějších detekčních schopností na straně bezpečnostních týmů.

Celkový objem publikovaných CVE (2018–2026)

Pro kontext je důležité sledovat také exponenciální nárůst všech bezpečnostních chyb zapisovaných do globální databáze zranitelností CVE. Data pocházejí z agregátoru ProjectDiscovery.

Rok	Publikovaná CVE (známé zranitelnosti)
2018	17 964
2019	18 645
2020	18 941
2021	21 469
2022	25 814
2023	30 361
2024	40 131
2025	49 458
2026	30 550 (data pouze za 1. polovinu roku)

Nejvíce cílené společnosti v roce 2025

Dle reportu za rok 2025 byly útoky nultého dne nejvíce směřovány na produkty dominantních technologických korporací, které spravují operační systémy a internetové prohlížeče.

Společnost	Počet potvrzených zero-day útoků (2025)
Microsoft	25
Google	11
Apple	8
Ostatní dodavatelé (např. Cisco, VMware)	46

🛡️ Obrana a mitigace

Jelikož útok nultého dne z definice neposkytuje obráncům možnost reagovat pomocí aplikování bezpečnostní záplaty, je nutné spoléhat na proaktivní architektonická opatření a moderní detekční systémy.

Obrana zahrnuje nasazení behaviorální analýzy na úrovni sítě a koncových stanic. Systémy z kategorie EDR nebo XDR nemonitorují specifické signatury škodlivého kódu, ale sledují anomálie v chování programů. Pokud například běžný webový prohlížeč najednou otevře terminálovou konzoli a pokusí se vytvořit neznámé síťové spojení do zahraničí, bezpečnostní systém proces zablokuje, i když samotnou zranitelnost nultého dne nezná.

Základním koncepčním přístupem se stala architektura Zero Trust (nulová důvěra). Ta předpokládá, že útočník již uvnitř sítě je (nebo se do ní prostřednictvím zero-day snadno dostane). Klade se proto důraz na mikrosegmentaci sítě, silné řízení identit, vícefázové ověření a minimální přidělování oprávnění, které zajišťuje, že i úspěšně zneužitá zranitelnost nevede ke kompromitaci celého podniku.

💡 Pro laiky

Zranitelnost nultého dne si lze představit jako bezpečnostní návrhovou chybu při stavbě nedobytného bankovního trezoru. Architekti a stavitelé (vývojáři softwaru) postaví ten nejlepší trezor na světě. Mají za to, že jedinou cestou dovnitř jsou masivní pancéřové dveře s časovým zámkem. Během stavby ale omylem zanechali v zadní stěně větrací šachtu, která je dostatečně široká na to, aby se jí protáhl člověk.

Stavitelé banky o šachtě neví, ředitel banky o ní neví a dodavatel alarmů také ne. Jednoho dne však šachtu při zkoumání plánů banky objeví zloděj.

Tento okamžik, kdy zloděj objeví tajnou cestu dovnitř, představuje zranitelnost nultého dne. Zloděj nepotřebuje žádné výbušniny k otevření hlavních dveří, prostě se do trezoru vkrade šachtou, protože tam nejsou namontována žádná bezpečnostní čidla (antivirový program hledá zloděje pouze u hlavního vchodu).

Zloděj může banku vykrádat dny, týdny nebo i měsíce. Tento časový úsek se nazývá „okno zranitelnosti“. Útoky probíhají do chvíle, než si bankéři všimnou mizejících peněz, najdou větrací šachtu a urychleně ji zazdí. Okamžik, kdy je šachta zazděna betonem, představuje aplikování bezpečnostní záplaty (patche). Od této chvíle zloděj svůj tajný vchod (zero-day exploit) již nemůže využít a banka je znovu v bezpečí.

Zdroje