Zero-day

Wat is een zero-day?

Een zero-day (ook 0-day) is een lek waartegen verdedigers nog niets kunnen doen, omdat er geen update voor bestaat. Het Amerikaanse standaardisatie-instituut NIST omschrijft een zero-day-aanval als een aanval die een eerder onbekende kwetsbaarheid in hardware, firmware of software misbruikt.

Het woord wordt voor 3 verwante dingen gebruikt:

Begrip	Betekenis
Zero-day kwetsbaarheid	De fout in de software die nog niet bekend is bij de maker, of waarvoor nog geen update is
Zero-day exploit	De code of techniek waarmee een aanvaller die fout misbruikt
Zero-day-aanval	Het daadwerkelijke misbruik van de fout tegen een slachtoffer

Een zero-day blijft niet voor altijd een zero-day. Zodra de maker het lek kent, krijgt het meestal een CVE-nummer en volgt er een beveiligingsupdate. Vanaf dat moment is het een bekende kwetsbaarheid, die een vulnerability scan kan opsporen. Wie de update niet installeert, blijft kwetsbaar, ook al is het lek dan geen zero-day meer.

Omdat niemand zich tegen een onbekend lek kan beschermen, is een zero-day een krachtig middel bij gerichte aanvallen. Een APT, een langdurige en goed georganiseerde aanvaller, kan na binnenkomst via zo’n lek blijvende toegang zoeken met bijvoorbeeld een rootkit.

Hoe werkt de verdediging tegen een zero-day?

Tegen een zero-day helpt geen update, dus werkt verdediging in lagen: de aanval moeilijker maken, het misbruik snel zien en de schade beperken. Het NCSC adviseert na misbruik van een zero-day in Citrix-systemen onder meer:

1. Installeer beveiligingsupdates zodra ze beschikbaar zijn.
2. Richt defense-in-depth in: meerdere beveiligingslagen, zodat 1 lek niet meteen toegang tot alles geeft.
3. Segmenteer het netwerk, zodat een aanvaller na binnenkomst niet vrij kan rondlopen.
4. Beveilig edge devices extra, zoals VPN- en toegangsservers die direct aan internet hangen.
5. Zorg voor goede logging en forensische paraatheid, zodat je achteraf kunt onderzoeken wat er gebeurde.

Ook vulnerability management helpt: wie weet welke systemen hij heeft, kan bij een nieuwe waarschuwing snel handelen.

Voorbeeld uit de praktijk

In 2025 stelde het NCSC vast dat meerdere vitale organisaties in Nederland succesvol waren aangevallen via kwetsbaarheid CVE-2025-6543 in Citrix NetScaler, systemen voor toegang op afstand. De kwetsbaarheid werd sinds ten minste begin mei 2025 misbruikt. Pas op 25 juni 2025 publiceerde Citrix informatie over het lek en een update (bron: NCSC, 2025).

Het ging dus om een zero-day: het misbruik begon weken voordat er een update was. Het NCSC meldde ook dat de aanvaller actief sporen had gewist, wat forensisch onderzoek lastig maakte. Het NCSC publiceerde scripts waarmee organisaties zelf konden controleren of hun systemen waren gecompromitteerd. Dit lek is een ander lek dan CitrixBleed 2 (CVE-2025-5777), dat rond dezelfde tijd bekend werd.

Zero-day in de praktijk van een security-professional

Een SOC-analist kan een zero-day niet herkennen aan een bekende handtekening. Het werk draait dan om afwijkend gedrag: een server die ineens verbinding maakt met een onbekend adres, of een beheeraccount dat op een vreemd tijdstip actief is. Na een waarschuwing van het NCSC of de leverancier zoekt het team gericht naar sporen.

Een security architect ontwerpt het netwerk zo dat 1 lek niet fataal is. Een ethical hacker of securityonderzoeker die zelf een onbekend lek vindt, meldt dat via coordinated vulnerability disclosure (CVD) aan de maker. Voor prioriteren gebruiken veel teams de KEV-catalogus van het Amerikaanse CISA, een lijst van kwetsbaarheden die aantoonbaar worden misbruikt. Op 25 september 2026 stonden daar 1.726 kwetsbaarheden op (bron: CISA, 2026).

Veelgestelde vragen

Wat betekent zero day?

Zero day betekent dat de maker van software 0 dagen heeft gehad om een lek te dichten, omdat aanvallers het al misbruiken voordat de maker ervan weet of een update heeft. Het woord wordt gebruikt voor de kwetsbaarheid zelf, voor de exploit en voor de aanval.

Wat is de betekenis van een zero-day exploit?

Een zero-day exploit is de code of techniek waarmee een aanvaller een onbekende kwetsbaarheid misbruikt. Omdat er nog geen beveiligingsupdate is, werkt de exploit ook op systemen die volledig zijn bijgewerkt. Een voorbeeld is het lek in de webmailsoftware Roundcube dat in oktober 2023 werd misbruikt tegen Europese overheidsorganisaties.

Wat zijn exploits?

Een exploit is een stukje code of een methode die misbruik maakt van een kwetsbaarheid in software of hardware. Met een exploit kan een aanvaller bijvoorbeeld binnenkomen, eigen code uitvoeren of meer rechten krijgen. Is de kwetsbaarheid nog onbekend bij de maker, dan heet het een zero-day exploit.

Wat is een zero-day-aanval?

Een zero-day-aanval is een aanval die een kwetsbaarheid misbruikt die nog niet bekend is bij de maker, of waarvoor nog geen update bestaat. Verdedigers kunnen het lek dan niet dichten. Ze moeten de aanval herkennen aan afwijkend gedrag en de schade beperken met segmentatie en monitoring.