Wat is een zero-day exploit?

Een zero-day exploit is aanvalscode voor een kwetsbaarheid die de softwareleverancier nog niet kent. De naam is boekhouding, geen poëzie: de ontwikkelaars hebben nul dagen gehad om een fix te bouwen, dus op het moment van de aanval bestaat er geen patch en vaak ook geen detectiehandtekening. Drie verwante termen zijn het uit elkaar houden waard. De zero-day-kwetsbaarheid is het onbekende lek zelf, de zero-day exploit is de werkende aanvalscode ervoor, en een zero-day-aanval is die code ingezet tegen echte doelwitten. Echte zero-days zijn zeldzaam en duur: Google Threat Intelligence Group telde in 2024 75 zero-day-kwetsbaarheden die in het wild werden misbruikt, tegenover 98 het jaar ervoor, en de meeste werden opgebrand in gerichte aanvallen van statelijke groepen en commerciële spywareleveranciers. Voor een normale website is het statistisch dominante gevaar helemaal niet de zero-day, maar de n-day: het venster na het uitkomen van een patch waarin aanvallers massaal iedereen aanpakken die nog niet heeft bijgewerkt.

Wat betekent zero-day? Kwetsbaarheid, exploit en aanval

De term wordt losjes gebruikt, dus wat precisie helpt:

• Zero-day-kwetsbaarheid: een beveiligingslek dat in uitgeleverde software zit maar bij de leverancier onbekend is. Het kan jarenlang onontdekt blijven, en onderzoek naar misbruikte zero-days vindt regelmatig lekken die al lang in de code zaten.
• Zero-day exploit: werkende code die het lek omzet in een echte mogelijkheid, zoals remote code execution of rechtenescalatie. Een betrouwbare exploit schrijven is vaak veel lastiger dan de bug vinden.
• Zero-day-aanval: de exploit ingezet tegen echte doelwitten terwijl de leverancier nog van niets weet.

De nul telt de dagen die de verdediger heeft gehad om te reageren. Op het moment dat de leverancier van het lek hoort, begint de klok te lopen, en zodra er een patch uitkomt zakt diezelfde exploit af tot een n-day: nog steeds gevaarlijk, maar alleen tegen wie niet heeft bijgewerkt.

Hoe werkt een zero-day-aanval? De levenscyclus van een kwetsbaarheid

1. Het lek ontstaat: een bug belandt in productiecode, door niemand opgemerkt.
2. Iemand vindt het: en hier splitsen de wegen. Een beveiligingsonderzoeker meldt het bij de leverancier, idealiter via een gecoördineerd disclosureproces of een bug bounty-programma. Een crimineel of statelijke actor houdt het geheim en bouwt er een wapen van.
3. Misbruik in het wild: in de slechte tak wordt de exploit stilletjes ingezet tegen geselecteerde doelwitten. Deze fase kan maanden duren en eindigt meestal pas als verdedigers de afwijking opmerken.
4. Openbaarmaking en patch: de leverancier bouwt een fix en publiceert een advisory, meestal met een CVE-nummer.
5. De n-day-fase: nu is het lek openbaar, is de patch te reverse-engineeren en slaat het misbruik om van gericht naar industrieel. Aanvallers scannen het hele internet af op niet-gepatchte systemen, en de tijd tussen het uitkomen van een patch en massaal misbruik is gekrompen tot dagen, soms uren.

Die laatste stap verrast mensen: het publiceren van een patch maakt de situatie tijdelijk gevaarlijker in plaats van veiliger voor iedereen die hem niet installeert. De patch is de wegwijzer naar de kwetsbaarheid.

Zero-day versus n-day: waar moet je nu echt bang voor zijn?

Een eerlijke risico-inschatting voor een website-eigenaar: een echte zero-day die tegen jou wordt ingezet is onwaarschijnlijk, tenzij je een overheid, een groot bedrijf, een journalist of anderszins een specifiek waardevol doelwit bent. Zero-days kosten echt geld en verliezen waarde bij elk gebruik, dus aanvallers geven ze zorgvuldig uit. Wat gewone websites elke dag treft is de n-day. De kwetsbaarheid is openbaar, exploitcode staat op GitHub, en bots scannen dag en nacht naar de getroffen softwareversie. De verdediging tegen n-days is weinig glamoureus en buitengewoon effectief: snel bijwerken. Een site die beveiligingsupdates binnen een dag installeert, is immuun voor de fase waarin de overgrote meerderheid van de echte inbraken plaatsvindt.

Beruchte zero-day-aanvallen

• Stuxnet (2010): de sabotageworm tegen het Iraanse kernprogramma gebruikte vier Windows-zero-days in één operatie, destijds ongehoord, en maakte de term gemeengoed.
• Sony Pictures en het spywaretijdperk: commerciële leveranciers zoals NSO Group industrialiseerden ketens van zero-days, met FORCEDENTRY (CVE-2021-30860) dat volledig gepatchte iPhones infecteerde via een zero-click iMessage-exploit.
• MOVEit Transfer (2023): de ransomwaregroep Cl0p misbruikte een SQL-injectie-zero-day (CVE-2023-34362) in een product voor beheerde bestandsoverdracht en stal in één campagne gegevens bij ruim 2.000 organisaties, een van de grootste inbraken in supply-chain-stijl ooit.
• Zakelijke edge-apparatuur (2023 tot 2025): de recente trend is zero-days in de beveiligingsinfrastructuur zelf, VPN-gateways, firewalls en appliances voor bestandsoverdracht, omdat één misbruikt apparaat honderden bedrijfsnetwerken opent.

Hoeveel zero-days worden er per jaar misbruikt?

De beste openbare cijfers komen van Google Threat Intelligence Group, dat misbruik van zero-days in het wild in de hele sector volgt: 75 misbruikte zero-days in 2024, 98 in 2023, 63 in 2022. Binnen die cijfers doen twee trends ertoe. Ten eerste richt een groeiend deel zich op zakelijke producten, vooral beveiligings- en netwerkapparatuur, in plaats van op software voor eindgebruikers. Ten tweede is een aanzienlijk deel te herleiden tot commerciële surveillanceleveranciers die inbraakmogelijkheden aan overheden verkopen. Browsers en mobiele besturingssystemen blijven populaire doelwitten, maar zijn tegelijk dramatisch lastiger te misbruiken geworden, en precies daarom blijven de prijzen stijgen.

De markt voor zero-days: bug bounties en exploitmakelaars

Wat er na de ontdekking gebeurt, hangt af van wie het lek vond, en voor elk antwoord bestaat een markt. Op de witte markt melden onderzoekers bij leveranciers voor een bug bounty, met programma's als het Zero Day Initiative en evenementen als Pwn2Own die beloningen van vijf en zes cijfers uitkeren, en met Google Project Zero dat zijn bekende deadline van 90 dagen bij leveranciers afdwingt. Op de grijze markt kopen makelaars exploits op en verkopen die door aan overheidsklanten, met gepubliceerde prijslijsten die voor zero-click-ketens op smartphones tot zeven cijfers oplopen. En op de zwarte markt wisselt dezelfde soort waar tussen criminelen van eigenaar. De economie verklaart de verdediging: elke laag exploitmitigatie verhoogt de ontwikkelkosten van een werkende keten, en elke snelle patchcyclus verkort de houdbaarheid van het product.

Zero-day exploits in WordPress

De WordPress-core heeft al jaren geen noemenswaardige golf van zero-day-inbraken gekend, en het beveiligingsteam is snel. Het plugin-ecosysteem is een ander verhaal en heeft schoolvoorbeelden opgeleverd. In september 2020 misbruikten aanvallers een lek in de bestandsupload van WP File Manager (CVE-2020-25213) als zero-day, tegen een plugin die op ruwweg 700.000 sites actief was, met honderdduizenden geregistreerde aanvalspogingen voordat de meeste sites konden bijwerken. In 2021 werd de plugin Fancy Product Designer via CVE-2021-24370 aangevallen terwijl er geen patch bestond. Het patroon is steeds hetzelfde: aanvallers houden populaire plugins in de gaten, en een lek in één ervan schaalt onmiddellijk naar elke site die hem draait. De praktische les is bot: elke geïnstalleerde plugin is aanvalsoppervlak, en een plugin die je niet draait kan je met zijn zero-day niets doen.

Hoe bescherm ik mijn website tegen zero-day exploits?

Je kunt het onbekende niet patchen, dus verschuift het doel van voorkomen naar de schade beperken en snel reageren. De maatregelen die echt verschil maken:

• Verklein het aanvalsoppervlak: verwijder plugins en themes die je niet gebruikt. Deactiveren is niet genoeg, gooi ze eruit.
• Kies goed onderhouden plugins: een actieve ontwikkelaar betekent dat de uiteindelijke patch er in uren is in plaats van weken, of nooit.
• Gebruik een web application firewall: WAF-leveranciers leveren virtuele patches die misbruikpatronen blokkeren voordat de officiële fix bestaat, en dat is het dichtste bij een echte zero-day-verdediging dat een site-eigenaar heeft.
• Hanteer minimale rechten: minder beheerdersaccounts, tweefactorauthenticatie, geen gedeelde logins. Een exploit die in een context met weinig rechten landt, richt minder schade aan.
• Hard de omgeving: DISALLOW_FILE_EDIT, correcte bestandsrechten, geen debugoutput in productie. Hardening stopt de exploit niet, het laat de fase erna verhongeren.
• Bewaar back-ups buiten de server en bewaak bestandsintegriteit: ga ervan uit dat een inbraak mogelijk is en maak het herstel saai.
• Werk snel bij zodra er patches zijn: het n-day-venster is waar je wint of verliest, en dat heb je volledig zelf in de hand.

Hoe helpt InspectWP tegen zero-days?

InspectWP kan een nog niet openbaar gemaakte kwetsbaarheid niet zien, en elke tool die anders beweert verkoopt je iets. Wat het wel dekt is alles eromheen: het inventariseert welke plugins en themes een site daadwerkelijk draait, markeert onderdelen met bekende kwetsbaarheden zodra die worden gepubliceerd, en controleert de hardeningmaatregelen die begrenzen wat een exploit kan aanrichten, van beveiligingsheaders tot blootgestelde gevoelige bestanden. Die inventaris is precies wat je nodig hebt op de dag dat een zero-day in een plugin het nieuws haalt, want de eerste vraag is altijd dezelfde: draaien wij dit ergens? Met geplande rapporten over al je projecten beantwoord je die in seconden in plaats van door een dozijn wp-admin-dashboards te spitten.