Exploit de dia zero.

Um exploit de dia zero transforma uma vulnerabilidade em arma antes de os defensores disporem de qualquer mitigação oficial. Como não há correção, nem assinatura e, muitas vezes, nenhum detalhe público, mesmo organizações bem instrumentadas podem ficar cegas diante dele. A janela só se fecha quando o fornecedor lança uma correção e os defensores a implantam — até lá, o exploit é executado contra todos os sistemas afetados.

Os dias zero impulsionam as intrusões mais graves. O Stuxnet (2010) encadeou quatro dias zero do Windows — incluindo a falha de atalhos LNK CVE-2010-2568 — para atravessar redes isoladas (air-gap) e danificar as centrífugas de Natanz. A Operation Aurora (2009) usou um dia zero do Internet Explorer (CVE-2010-0249) contra o Google e dezenas de empresas. O FORCEDENTRY (CVE-2021-30860), descoberto pelo Citizen Lab em 2021, explorou um estouro de inteiro no analisador JBIG2 do CoreGraphics da Apple para contornar a sandbox BlastDoor do iMessage em uma cadeia zero-click que instalava o spyware Pegasus do NSO Group. Cadeias remotas completas contra telefones e navegadores modernos são negociadas por corretores como Zerodium e Crowdfense por milhões de dólares.

flowchart LR
  A[Pesquisador/atacante encontra a falha] --> B{Divulgada ao fornecedor?}
  B -->|Não| C[Dia zero: transformar em arma + explorar na prática]
  B -->|Sim| D[Fornecedor desenvolve a correção]
  C --> E[Fornecedor acaba por saber da exploração]
  E --> D
  D --> F[Correção lançada]
  F --> G[Defensores implantam: a janela se fecha -> N-day]

Como a prevenção sozinha não consegue deter o desconhecido, a detecção apoia-se em análise comportamental (EDR/XDR), em mitigações de exploração (Intel CET, ARM PAC/MTE, sandboxing), em listas de aplicações permitidas e em um privilégio mínimo rigoroso, para que um exploit bem-sucedido obtenha capacidade limitada. Programas como o catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA aceleram a aplicação de correções assim que um dia zero se torna público.