O que é um zero-day exploit?

Um zero-day exploit é o código de ataque para uma vulnerabilidade de segurança que o fabricante do software ainda não conhece. O nome é contabilidade, não poesia: as pessoas desenvolvedoras tiveram zero dias para construir uma correção, então, no momento do ataque, não existe patch e frequentemente nem assinatura de detecção. Três termos relacionados merecem ser separados. A vulnerabilidade zero-day é a falha desconhecida em si, o zero-day exploit é o código de ataque funcional para ela, e um ataque zero-day é esse código sendo usado contra alvos reais. Zero-days genuínos são raros e caros: o Google Threat Intelligence Group contabilizou 75 vulnerabilidades zero-day exploradas no mundo real em 2024, contra 98 no ano anterior, a maioria queimada em ataques direcionados por grupos patrocinados por estados e por fornecedores comerciais de spyware. Para um site normal, o perigo estatisticamente dominante não é o zero-day, e sim o n-day: a janela depois do lançamento de um patch em que os atacantes exploram em massa todo mundo que ainda não atualizou.

O que significa zero-day? Vulnerabilidade, exploit e ataque

O termo é usado de forma solta, então um pouco de precisão ajuda:

• Vulnerabilidade zero-day: uma falha de segurança que existe em software já lançado, mas é desconhecida do fabricante. Ela pode ficar sem ser descoberta por anos, e estudos sobre zero-days explorados encontram regularmente falhas que estavam no código havia muito tempo.
• Zero-day exploit: código funcional que transforma a falha em uma capacidade concreta, como execução remota de código ou escalonamento de privilégios. Escrever um exploit confiável costuma ser bem mais difícil do que encontrar o bug.
• Ataque zero-day: o exploit usado contra alvos reais enquanto o fabricante ainda está no escuro.

O zero conta os dias que quem defende teve para responder. No momento em que o fabricante toma conhecimento da falha, o relógio começa a correr e, quando um patch é lançado, o mesmo exploit se degrada em um n-day: ainda perigoso, mas só contra quem não atualizou.

Como funciona um ataque zero-day? O ciclo de vida de uma vulnerabilidade

1. A falha nasce: um bug vai parar no código em produção, sem que ninguém perceba.
2. Alguém a encontra: e aqui os caminhos se bifurcam. Uma pessoa pesquisadora de segurança reporta ao fabricante, idealmente por um processo de divulgação coordenada ou um programa de bug bounty. Um criminoso ou ator estatal mantém segredo e transforma a falha em arma.
3. Exploração no mundo real: no ramo ruim, o exploit é usado silenciosamente contra alvos selecionados. Essa fase pode durar meses e normalmente só termina quando quem defende percebe a anomalia.
4. Divulgação e patch: o fabricante desenvolve uma correção e publica um aviso, geralmente com um ID CVE.
5. A fase n-day: agora a falha é pública, o patch pode ser submetido a engenharia reversa e a exploração passa de direcionada a industrial. Os atacantes varrem a internet inteira em busca de sistemas não atualizados, e o tempo entre o lançamento do patch e a exploração em massa encolheu para dias, às vezes horas.

Esse último passo surpreende as pessoas: a publicação de um patch torna a situação temporariamente mais perigosa, não menos, para todo mundo que não o aplica. O patch é o mapa da vulnerabilidade.

Zero-day e n-day: de qual você deveria realmente ter medo?

Avaliação honesta de risco para quem tem um site: um zero-day de verdade usado contra você é improvável, a menos que você seja um governo, uma grande empresa, um jornalista ou um alvo especificamente valioso por outro motivo. Zero-days custam dinheiro de verdade e perdem valor a cada uso, então os atacantes os gastam com cuidado. O que atinge sites comuns todo santo dia é o n-day. A vulnerabilidade é pública, o código do exploit está no GitHub e bots varrem a internet em busca da versão afetada do software 24 horas por dia. A defesa contra n-days é pouco glamourosa e extremamente eficaz: atualize rápido. Um site que aplica atualizações de segurança em até um dia fica imune à fase em que acontece a esmagadora maioria dos comprometimentos reais.

Ataques zero-day famosos

• Stuxnet (2010): o worm de sabotagem contra o programa nuclear iraniano usou quatro zero-days do Windows em uma única operação, algo inédito na época, e levou o termo ao grande público.
• Sony Pictures e a era do spyware: fornecedores comerciais como o NSO Group industrializaram cadeias de zero-days, com o FORCEDENTRY (CVE-2021-30860) infectando iPhones totalmente atualizados por meio de um exploit zero-click no iMessage.
• MOVEit Transfer (2023): o grupo de ransomware Cl0p explorou um zero-day de injeção de SQL (CVE-2023-34362) em um produto de transferência gerenciada de arquivos e roubou dados de bem mais de 2.000 organizações em uma única campanha, uma das maiores brechas do tipo cadeia de suprimentos já registradas.
• Dispositivos de borda corporativos (2023 a 2025): a tendência recente são zero-days na própria infraestrutura de segurança, gateways VPN, firewalls e appliances de transferência de arquivos, porque um appliance explorado abre centenas de redes corporativas.

Quantos zero-days são explorados por ano?

Os melhores números públicos vêm do Google Threat Intelligence Group, que acompanha a exploração de zero-days no mundo real em toda a indústria: 75 zero-days explorados em 2024, 98 em 2023, 63 em 2022. Duas tendências dentro desses números importam. Primeiro, uma parcela crescente mira produtos corporativos, especialmente appliances de segurança e de rede, em vez de software de usuário final. Segundo, uma parte substancial remete a fornecedores comerciais de vigilância que vendem capacidades de intrusão a governos. Navegadores e sistemas operacionais móveis continuam sendo alvos populares, mas também ficaram dramaticamente mais difíceis de explorar, que é exatamente por que os preços seguem subindo.

O mercado de zero-days: bug bounties e corretores de exploits

O que acontece depois da descoberta depende de quem encontrou a falha, e existe um mercado para cada resposta. No mercado branco, pesquisadores reportam aos fabricantes em troca de bug bounties, com programas como a Zero Day Initiative e eventos como o Pwn2Own pagando recompensas de cinco e seis dígitos, e o Google Project Zero impondo aos fabricantes seu conhecido prazo de divulgação de 90 dias. No mercado cinza, corretores compram exploits e os revendem a clientes governamentais, com listas de preços publicadas chegando a sete dígitos por cadeias zero-click para smartphones. E no mercado negro, o mesmo tipo de mercadoria troca de mãos entre criminosos. A economia explica a defesa: cada camada de mitigação de exploits aumenta o custo de desenvolvimento de uma cadeia funcional, e cada ciclo rápido de patch encurta a vida útil do produto.

Zero-day exploits no WordPress

O núcleo do WordPress não sofre uma onda relevante de comprometimento por zero-day há anos, e o time de segurança dele é rápido. O ecossistema de plugins é outra história, e produziu casos de manual. Em setembro de 2020, atacantes exploraram como zero-day uma falha de upload de arquivos no WP File Manager (CVE-2020-25213), contra um plugin ativo em cerca de 700.000 sites, com centenas de milhares de tentativas de ataque registradas antes que a maioria dos sites conseguisse atualizar. Em 2021, o plugin Fancy Product Designer foi atacado por meio do CVE-2021-24370 enquanto nenhum patch existia. O padrão é consistente: atacantes observam plugins populares, e uma falha em um deles escala instantaneamente para todos os sites que o rodam. A conclusão prática é direta: cada plugin instalado é superfície de ataque, e um plugin que você não roda não consegue te machucar com o zero-day dele.

Como posso proteger meu site contra zero-day exploits?

Você não consegue corrigir o desconhecido, então o objetivo muda de prevenção para limitar o raio de impacto e reagir rápido. As medidas que realmente fazem diferença:

• Reduza a superfície de ataque: desinstale plugins e temas que você não usa. Desativado não basta, apague-os.
• Prefira plugins bem mantidos: uma pessoa desenvolvedora ativa significa que o patch eventual chega em horas, em vez de semanas ou nunca.
• Use um web application firewall: fornecedores de WAF entregam virtual patches que bloqueiam padrões de exploração antes de a correção oficial existir, o que é a coisa mais próxima de uma defesa real contra zero-day que quem tem um site consegue ter.
• Aplique privilégio mínimo: menos contas de administrador, autenticação de dois fatores, nenhum login compartilhado. Um exploit que aterrissa em um contexto de poucos privilégios causa menos dano.
• Endureça a plataforma: DISALLOW_FILE_EDIT, permissões de arquivo corretas, nenhuma saída de debug em produção. O hardening não impede o exploit, ele deixa a pós-exploração passando fome.
• Mantenha backups externos e monitore a integridade dos arquivos: parta do princípio de que o comprometimento é possível e torne a recuperação algo entediante.
• Atualize rápido quando os patches aparecerem: a janela n-day é onde você ganha ou perde, e ela está inteiramente sob o seu controle.

Como o InspectWP ajuda contra zero-days?

O InspectWP não consegue ver uma vulnerabilidade não divulgada, e qualquer ferramenta que afirme o contrário está te vendendo alguma coisa. O que ele cobre é tudo em volta do zero-day: ele inventaria os plugins e temas que um site de fato roda, sinaliza componentes com vulnerabilidades conhecidas no momento em que elas são publicadas e verifica as medidas de hardening que limitam o que um exploit consegue fazer, dos cabeçalhos de segurança a arquivos sensíveis expostos. Esse inventário é exatamente o que você precisa no dia em que um zero-day de plugin vira notícia, porque a primeira pergunta é sempre a mesma: a gente roda isso em algum lugar? Com relatórios agendados em todos os seus projetos, você responde em segundos, em vez de fuçar uma dúzia de painéis wp-admin.