Un 'Zero-day' se refiere a una vulnerabilidad de seguridad en software o hardware que es desconocida para el proveedor o para el público en general, y por lo tanto no existe un parche disponible para corregirla. El término también se aplica al ataque que explota esta vulnerabilidad. Su nombre deriva del hecho de que el desarrollador tiene 'cero días' para arreglar el problema antes de que sea explotado, o desde el momento en que se hace público. Estas vulnerabilidades son particularmente peligrosas porque los sistemas afectados son completamente indefensos hasta que se descubre la falla y se desarrolla un parche.
Los ataques Zero-day se han utilizado en campañas de ciberespionaje sofisticadas y ataques dirigidos. Por ejemplo, el gusano Stuxnet, que atacó las instalaciones nucleares iraníes, es un caso notorio que explotó múltiples vulnerabilidades Zero-day en sistemas Windows y SCADA. Otro ejemplo es el uso de Zero-days en exploits para navegadores web como Chrome o Firefox, o sistemas operativos móviles como iOS y Android, a menudo vendidos en el mercado negro a agencias gubernamentales o grupos de ciberdelincuentes para vigilancia o acceso no autorizado. Herramientas como Metasploit pueden incorporar módulos para explotar Zero-days una vez que se hacen públicos.
Para un Arquitecto de Sistemas, la existencia de Zero-days subraya la importancia de una estrategia de seguridad en profundidad ('defense-in-depth') y una postura de seguridad proactiva. No se puede confiar únicamente en la aplicación de parches. Es crucial diseñar sistemas con principios de mínima superficie de ataque, segmentación de red robusta, sandboxing, y monitoreo continuo de anomalías (SIEM, EDR). La resiliencia ante Zero-days implica también la implementación de controles de acceso estrictos, la validación de entradas ('input validation') y la adopción de arquitecturas de confianza cero ('Zero Trust'). La capacidad de respuesta rápida a incidentes y un plan de recuperación ante desastres son esenciales, ya que un Zero-day puede comprometer incluso los sistemas más actualizados. La evaluación de riesgos debe considerar el impacto potencial de un Zero-day en componentes críticos y la capacidad de la organización para mitigar rápidamente tales amenazas.