Cos'è un exploit zero-day?

Un exploit zero-day è il codice di attacco per una vulnerabilità di sicurezza che il produttore del software ancora non conosce. Il nome è contabilità, non poesia: gli sviluppatori hanno avuto zero giorni per costruire una correzione, quindi nel momento dell'attacco non esiste alcuna patch e spesso nemmeno una firma di rilevamento. Vale la pena tenere distinti tre termini correlati. La vulnerabilità zero-day è la falla sconosciuta in sé, l'exploit zero-day è il codice di attacco funzionante che la sfrutta e un attacco zero-day è quel codice usato contro bersagli reali. Gli zero-day autentici sono rari e costosi: il Google Threat Intelligence Group ha contato 75 vulnerabilità zero-day sfruttate sul campo nel 2024, in calo rispetto alle 98 dell'anno precedente, la maggior parte bruciate in attacchi mirati da parte di gruppi sostenuti dagli Stati e di fornitori commerciali di spyware. Per un sito web normale il pericolo statisticamente dominante non è affatto lo zero-day, ma l'n-day: la finestra successiva al rilascio di una patch in cui gli attaccanti sfruttano in massa chiunque non abbia ancora aggiornato.

Cosa significa zero-day? Vulnerabilità, exploit e attacco

Il termine viene usato con molta leggerezza, quindi un po' di precisione aiuta:

• Vulnerabilità zero-day: una falla di sicurezza presente nel software rilasciato ma sconosciuta al produttore. Può restare non scoperta per anni, e gli studi sugli zero-day sfruttati trovano regolarmente falle rimaste a lungo nel codice.
• Exploit zero-day: codice funzionante che trasforma la falla in una capacità concreta, come l'esecuzione di codice remoto o l'escalation di privilegi. Scrivere un exploit affidabile è spesso molto più difficile che trovare il bug.
• Attacco zero-day: l'exploit usato contro bersagli reali mentre il produttore è ancora all'oscuro di tutto.

Lo zero conta i giorni che il difensore ha avuto per reagire. Nel momento in cui il produttore viene a conoscenza della falla, l'orologio inizia a correre, e una volta rilasciata la patch lo stesso exploit degrada in un n-day: ancora pericoloso, ma soltanto contro chi non ha aggiornato.

Come funziona un attacco zero-day? Il ciclo di vita di una vulnerabilità

1. La falla nasce: un bug finisce nel codice di produzione, senza che nessuno se ne accorga.
2. Qualcuno la trova: ed è qui che le strade si dividono. Un ricercatore di sicurezza la segnala al produttore, idealmente attraverso un processo di divulgazione coordinata o un programma di Bug Bounty. Un criminale o un attore statale la tiene segreta e la trasforma in un'arma.
3. Sfruttamento sul campo: nel ramo cattivo, l'exploit viene usato in silenzio contro bersagli selezionati. Questa fase può durare mesi e di solito finisce solo quando i difensori notano l'anomalia.
4. Divulgazione e patch: il produttore sviluppa una correzione e pubblica un bollettino, di norma con un identificativo CVE.
5. La fase n-day: ora la falla è pubblica, la patch può essere sottoposta a reverse engineering e lo sfruttamento passa da mirato a industriale. Gli attaccanti scansionano l'intera Internet alla ricerca di sistemi non aggiornati, e il tempo tra il rilascio della patch e lo sfruttamento di massa si è ridotto a giorni, a volte a ore.

Quest'ultimo passaggio sorprende molti: la pubblicazione di una patch rende temporaneamente la situazione più pericolosa, non meno, per chiunque non la applichi. La patch è la mappa che porta alla vulnerabilità.

Zero-day o n-day: di quale dovresti davvero avere paura?

Una valutazione onesta del rischio per chi gestisce un sito: è improbabile che un vero zero-day venga usato contro di te, a meno che tu non sia un governo, una grande impresa, un giornalista o comunque un bersaglio di valore specifico. Gli zero-day costano soldi veri e perdono valore a ogni utilizzo, quindi gli attaccanti li spendono con parsimonia. Ciò che colpisce i siti comuni ogni singolo giorno è l'n-day. La vulnerabilità è pubblica, il codice dell'exploit è su GitHub e i bot cercano la versione del software interessata 24 ore su 24. La difesa contro gli n-day è poco glamour ed estremamente efficace: aggiorna in fretta. Un sito che applica gli aggiornamenti di sicurezza entro un giorno è immune alla fase in cui avviene la stragrande maggioranza delle compromissioni reali.

Attacchi zero-day celebri

• Stuxnet (2010): il worm di sabotaggio contro il programma nucleare iraniano usò quattro zero-day di Windows in una sola operazione, cosa inaudita all'epoca, e portò il termine tra il grande pubblico.
• Sony Pictures e l'era dello spyware: fornitori commerciali come NSO Group hanno industrializzato le catene di zero-day, con FORCEDENTRY (CVE-2021-30860) che infettava iPhone completamente aggiornati tramite un exploit zero-click in iMessage.
• MOVEit Transfer (2023): il gruppo ransomware Cl0p ha sfruttato uno zero-day di SQL injection (CVE-2023-34362) in un prodotto per il trasferimento gestito di file e ha sottratto dati a ben oltre 2.000 organizzazioni in una sola campagna, una delle violazioni di tipo supply chain più estese mai registrate.
• Dispositivi di frontiera aziendali (dal 2023 al 2025): la tendenza recente sono gli zero-day nella stessa infrastruttura di sicurezza, gateway VPN, firewall e apparati per il trasferimento di file, perché un solo apparato compromesso apre centinaia di reti aziendali.

Quanti zero-day vengono sfruttati ogni anno?

I numeri pubblici migliori arrivano dal Google Threat Intelligence Group, che traccia lo sfruttamento di zero-day sul campo in tutto il settore: 75 zero-day sfruttati nel 2024, 98 nel 2023, 63 nel 2022. All'interno di quei numeri contano due tendenze. Primo, una quota crescente prende di mira prodotti aziendali, in particolare apparati di sicurezza e di rete, invece del software per l'utente finale. Secondo, una parte consistente si riconduce a fornitori commerciali di sorveglianza che vendono capacità di intrusione ai governi. Browser e sistemi operativi mobili restano bersagli molto ambiti, ma sono anche diventati enormemente più difficili da sfruttare, ed è esattamente il motivo per cui i prezzi continuano a salire.

Il mercato degli zero-day: Bug Bounty e broker di exploit

Cosa succede dopo la scoperta dipende da chi ha trovato la falla, e per ogni risposta esiste un mercato. Nel mercato bianco i ricercatori segnalano ai produttori in cambio di Bug Bounty, con programmi come la Zero Day Initiative ed eventi come Pwn2Own che pagano ricompense a cinque e sei cifre, e con Google Project Zero che impone ai produttori il suo noto termine di divulgazione di 90 giorni. Nel mercato grigio i broker acquistano exploit e li rivendono a clienti governativi, con listini pubblicati che raggiungono le sette cifre per le catene zero-click su smartphone. E nel mercato nero la stessa classe di merce passa di mano tra criminali. L'economia spiega la difesa: ogni strato di mitigazione degli exploit alza il costo di sviluppo di una catena funzionante e ogni ciclo di patch rapido accorcia la vita utile del prodotto.

Exploit zero-day in WordPress

Il core di WordPress non subisce da anni un'ondata di compromissioni rilevante causata da uno zero-day, e il suo team di sicurezza è rapido. L'ecosistema dei plugin è un'altra storia e ha prodotto casi da manuale. Nel settembre 2020 gli attaccanti hanno sfruttato come zero-day una falla nel caricamento di file di WP File Manager (CVE-2020-25213), contro un plugin attivo su circa 700.000 siti, con centinaia di migliaia di tentativi di attacco registrati prima che la maggior parte dei siti potesse aggiornare. Nel 2021 il plugin Fancy Product Designer è stato attaccato tramite CVE-2021-24370 mentre non esisteva alcuna patch. Lo schema è sempre lo stesso: gli attaccanti tengono d'occhio i plugin più diffusi e una falla in uno di essi si estende all'istante a ogni sito che lo esegue. La lezione pratica è brutale: ogni plugin installato è superficie di attacco, e un plugin che non usi non può ferirti con il suo zero-day.

Come posso proteggere il mio sito dagli exploit zero-day?

Non puoi applicare una patch all'ignoto, quindi l'obiettivo si sposta dalla prevenzione al contenimento del danno e alla velocità di reazione. Le misure che spostano davvero l'ago:

• Riduci la superficie di attacco: disinstalla i plugin e i temi che non usi. Disattivarli non basta, eliminali.
• Preferisci plugin ben mantenuti: uno sviluppatore attivo significa che la patch, quando arriverà, arriverà in ore invece che in settimane, o mai.
• Usa un web application firewall: i fornitori di WAF distribuiscono virtual patch che bloccano gli schemi di sfruttamento prima che esista la correzione ufficiale, ed è la cosa più simile a una vera difesa dagli zero-day che chi gestisce un sito abbia a disposizione.
• Applica il privilegio minimo: meno account amministratore, autenticazione a due fattori, nessun accesso condiviso. Un exploit che atterra in un contesto con pochi privilegi fa meno danni.
• Irrobustisci la piattaforma: DISALLOW_FILE_EDIT, permessi dei file corretti, nessun output di debug in produzione. L'hardening non ferma l'exploit, affama ciò che viene dopo.
• Tieni backup esterni e monitora l'integrità dei file: parti dal presupposto che la compromissione sia possibile e rendi il ripristino una noia.
• Aggiorna in fretta quando compaiono le patch: la finestra n-day è dove vinci o perdi, ed è interamente sotto il tuo controllo.

Come aiuta InspectWP contro gli zero-day?

InspectWP non può vedere una vulnerabilità non ancora divulgata, e qualsiasi strumento che sostenga il contrario ti sta vendendo qualcosa. Ciò che copre è tutto quello che sta attorno allo zero-day: inventaria i plugin e i temi che un sito esegue davvero, segnala i componenti con vulnerabilità note nel momento stesso in cui vengono pubblicate e verifica le misure di hardening che limitano ciò che un exploit può fare, dagli header di sicurezza ai file sensibili esposti. Quell'inventario è esattamente ciò che ti serve il giorno in cui uno zero-day di un plugin finisce sulle notizie, perché la prima domanda è sempre la stessa: lo usiamo da qualche parte? Con i report pianificati su tutti i tuoi progetti rispondi in pochi secondi invece di spulciare una dozzina di bacheche wp-admin.