Zdieľať

Zero-day útoky: neznámá chyba, známé důsledky

Zdieľať

Určitě už jste narazili na termín zero-day. V bezpečnostních zprávách se objevuje stále častěji, ale často se používá jako zkratka pro „nový virus“ nebo „útok, proti kterému se nedá nic dělat“. Obě představy jsou nepřesné: zero-day je především problém neznámé nebo dosud neopravené chyby, při níž má obránce méně času, méně informací a často žádnou hotovou záplatu.

Problém není neznámý virus, ale neznámá chyba

Zero-day útok není magická kategorie malwaru. Přesněji jde o útok, který zneužívá zranitelnost dříve, než je veřejně známá nebo než má uživatel k dispozici opravu. NIST definuje zero-day útok jako útok zneužívající dříve neznámou hardwarovou, firmwarovou nebo softwarovou zranitelnost. Google Threat Intelligence Group používá ve svých přehledech podobný praktický rámec: za zero-day považuje zranitelnost, která byla škodlivě zneužita v praxi dříve, než byla veřejně dostupná záplata.

Toto rozlišení je důležité. Když se řekne zero-day, nejde automaticky o virus, trojského koně ani ransomware. Jde o chybu, přes kterou se útočník může dostat dál. Teprve potom může nasadit malware, spyware, nástroj pro vzdálené ovládání, ransomware nebo si vytvořit trvalý přístup do systému.

Praktický problém je v načasování. U běžné známé zranitelnosti už existuje veřejná informace, bezpečnostní pravidla, indikátory kompromitace, doporučená mitigace a často i záplata. U zero-day útoku to na začátku neplatí. Obránce nemusí vědět, že chyba existuje, v jakém produktu se nachází, jak se zneužívá ani podle čeho má hledat stopy útoku.

Doporučujeme

Proto nestačí otázka, jestli máte antivir. Důležitější otázka zní: co se stane, když se útočník navzdory ochraně dostane dovnitř? Zjistí to někdo rychle? Má kam pokračovat? Má uživatel nebo firma zálohy? Jsou administrátorské účty oddělené od běžných? Je kritická služba bez důvodu vystavená internetu?

Zranitelnost, exploit, útok a payload nejsou totéž

V debatách o kyberbezpečnosti se často míchají pojmy, které označují různé části téhož řetězce. U zero-day útoků se vyplatí je rozlišovat, protože jinak vzniká falešný pocit, že jeden bezpečnostní nástroj vyřeší celý problém.

Zranitelnost je chyba v softwaru, hardwaru, firmwaru nebo konfiguraci. Může jít o nesprávné ověřování přístupu, chybu při práci s pamětí, nedostatečnou validaci vstupu nebo špatné výchozí nastavení služby. Samotná zranitelnost ještě není útok. Je to slabé místo.

Exploit je způsob, jak slabé místo zneužít. Může to být kus kódu, speciálně připravený požadavek, dokument, obrázek, síťový paket nebo kombinace několika kroků. U hodnotných cílů bývá exploit součástí řetězce, v němž jedna chyba otevře první dveře a další zvýší oprávnění nebo obejde sandbox.

Zero-day útok je reálné použití exploitu předtím, než je chyba známá nebo opravená. Payload je to, co útočník po úspěšném průniku provede: ukradne data, zašifruje soubory, vytvoří nový účet, přesune se do další části sítě, odposlouchává komunikaci nebo připraví sabotáž.

Jednoduše řečeno: zranitelnost je chyba, exploit je nástroj nebo postup k jejímu zneužití, útok je jeho použití a payload je praktický důsledek po průniku. Řetězec vypadá takto: zranitelnost → exploit → průnik → payload → dopad.

Proč jsou zero-day útoky stále aktuální

Zero-day útoky nepatří mezi nejběžnější formy kyberkriminality. Pro mnoho útočníků je stále levnější zneužít staré, známé a nezáplatované zranitelnosti, slabá hesla, phishing nebo špatně nastavené cloudové účty. To ale neznamená, že zero-day útoky jsou okrajové téma.

Google Threat Intelligence Group identifikovala 90 zero-day zranitelností zneužitých v reálných útocích v roce 2025. V meziročním srovnání to představuje nárůst oproti 78 případům za rok 2024, i když samostatná analýza za rok 2024 původně uváděla 75 případů. Rozdíl souvisí s tím, že GTIG průběžně aktualizuje data podle později odhalených incidentů. Důležitější než samotný rozdíl v počtu je trend: zero-day exploitace se stabilně drží na vysoké úrovni a přesouvá se k infrastruktuře, která má pro útočníky větší strategický význam.

Téměř polovina sledovaných zranitelností v roce 2025, konkrétně 43 případů neboli 48 %, zasáhla enterprise technologie. To je podstatné. Veřejná představa o zero-day útoku často vypadá jako infikovaný notebook po otevření přílohy. Realita je širší. Moderní útok může začít na VPN bráně, firewallu, virtualizační platformě, bezpečnostním appliance nebo jiném zařízení na okraji sítě.

Pro jednotlivce zůstávají důležité operační systémy, mobilní zařízení, prohlížeče a komunikační aplikace. V roce 2025 tvořily koncové platformy a produkty 52 % sledovaných zero-day případů. Operační systémy byly nejčastější kategorií s 39 zranitelnostmi a mobilní operační systémy vzrostly na 15 případů. Prohlížeče však klesly pod 10 % sledované aktivity, což může naznačovat účinnější hardeningová opatření. Zároveň je ale třeba počítat s tím, že lepší operační bezpečnost útočníků může část exploitace dělat méně viditelnou.

Pro firmy je nejdůležitější posun k edge a bezpečnostním zařízením. Ta jsou atraktivní proto, že stojí na rozhraní mezi internetem a interní sítí, mají vysoká oprávnění a často nemají stejnou úroveň EDR viditelnosti jako běžné servery nebo notebooky. Pokud útočník kompromituje zařízení, které má síť chránit, problém není jen v jednom systému. Může získat výhodný bod pro další sledování, pohyb nebo opakovaný vstup.

Jak zero-day útok typicky probíhá

Typický zero-day útok nemusí vypadat dramaticky. Útočník nebo výzkumník objeví chybu. Pokud ji objeví výzkumník a nahlásí ji výrobci, může následovat koordinované zveřejnění a oprava. Pokud ji objeví útočník nebo se dostane na trh s exploity, zranitelnost může zůstat nějakou dobu tajná a používat se selektivně.

Útočník si následně připraví exploit nebo koupí existující exploit. Cílem může být konkrétní organizace, konkrétní osoba nebo široce používaný produkt. Po úspěšném průniku se snaží získat vyšší oprávnění, udržet přístup, zjistit topologii sítě a dosáhnout obchodního nebo zpravodajského cíle.

Teprve když výrobce, bezpečnostní komunita nebo incident response tým chybu odhalí, začíná druhá fáze: oprava, mitigace, detekční pravidla a vyšetřování dopadu. V této chvíli se zero-day postupně mění ve známé riziko. Paradoxně se tehdy může zvýšit počet útoků na systémy, které záplatu nenasadily. Z původně exkluzivní schopnosti se stává návod dostupný širšímu spektru útočníků.

Ne každý zero-day útok je masový. Nejdražší a nejcennější exploity se často používají opatrně, protože odhalení snižuje jejich hodnotu. U masové kyberkriminality útočníci často raději využívají známé, ale nezáplatované zranitelnosti. Jsou levnější, spolehlivější a při slabém patch managementu stále fungují.

Kdo bývá cílem

Běžný uživatel není mimo riziko, ale pravděpodobnost cíleného zero-day útoku je u něj nižší než u lidí s politickou, finanční, právní nebo informační hodnotou. Vyšší riziko mají novináři, aktivisté, politici, právníci, manažeři, vývojáři, administrátoři, kryptoinvestoři a lidé s přístupem k citlivým systémům nebo dokumentům.

Tady vstupuje do hry také trh s komerčním spywarem. Dodavatelé komerčního sledovacího softwaru a jejich zákazníci patří podle GTIG mezi významné uživatele zero-day exploitů. V roce 2025 jim Google poprvé připsal více zero-day exploitace než tradičním státem podporovaným špionážním skupinám. Prakticky to znamená, že nejrizikovější uživatelé by neměli svou bezpečnost stavět pouze na běžných spotřebitelských doporučeních.

Malé a střední firmy často nejsou cílem proto, že by byly samy o sobě strategicky významné. Zajímavé jsou kvůli datům, přístupu k zákazníkům, dodavatelskému řetězci, e-mailovým účtům, fakturaci nebo slabým veřejně dostupným službám. Velké organizace a státní instituce mají vyšší riziko špionáže, dlouhodobého monitoringu, sabotáže nebo přípravy na pozdější konflikt.

Kritická infrastruktura je samostatná kategorie. U energetiky, dopravy, zdravotnictví, vody, veřejných služeb nebo telekomunikací nejde jen o únik dat. Incident může ovlivnit provoz služeb, bezpečnost lidí a důvěru v základní společenské systémy.

Proč nestačí antivir, firewall ani samotné aktualizace

Antivir je stále užitečný, ale není univerzální odpovědí. U zero-day útoku nemusí existovat signatura, známý detekční vzor ani jednoduchý indikátor, podle kterého by bylo možné útok spolehlivě zastavit. Moderní bezpečnostní nástroje používají i behaviorální detekci, reputaci, izolaci a heuristiku, ale ani ty negarantují zachycení každé exploitace.

Firewall pomáhá snižovat útočnou plochu, ale nevyřeší problém, pokud je zranitelná služba záměrně vystavená internetu nebo pokud je zranitelný samotný edge produkt. Právě to je nepříjemný paradox současné infrastruktury: zařízení, která mají chránit síť, mohou být zároveň atraktivním vstupním bodem.

Aktualizace jsou základ, ale u zero-day útoku oprava často ještě neexistuje. Když už existuje, rozhoduje rychlost nasazení a schopnost zjistit, kde se zranitelný komponent používá. Organizace, která neví, jaké systémy vlastní, co má vystavené internetu a kdo za to odpovídá, bude mít problém i u dobře napsané bezpečnostní výzvy od výrobce.

Nestačí ani školení uživatelů. Pomáhá u phishingu a sociálního inženýrství, ale nevyřeší technickou chybu ve VPN bráně, knihovně, operačním systému nebo správcovském rozhraní. Školení je důležitá vrstva, ne náhrada technických a procesních opatření.

Co má dělat jednotlivec

Pro běžného uživatele má nejlepší poměr námahy a přínosu základní hygiena. Nezaručí nulové riziko, ale výrazně snižuje pravděpodobnost běžných incidentů a omezuje škodu, pokud se něco pokazí.

Používejte podporovaný operační systém, prohlížeč, mobil a aplikace. Staré zařízení, které už nedostává bezpečnostní aktualizace, je dlouhodobý provozní dluh, ne výhodná úspora. Zapněte automatické aktualizace tam, kde dávají smysl, a neodkládejte aktualizace prohlížeče, mobilu a komunikačních aplikací.

Zapněte vícefaktorové ověření zejména pro e-mail, cloud, bankovnictví, sociální sítě, pracovní účty a správce hesel. Nepoužívejte administrátorský účet pro běžnou práci, pokud to operační systém a vaše návyky umožňují. Omezte počet rozšíření v prohlížeči a odinstalujte aplikace, které nepoužíváte.

Zálohujte data způsobem, který přežije ztrátu nebo zašifrování zařízení. V domácnosti to může být kombinace cloudové synchronizace a externí zálohy. U citlivých dat je důležité také šifrování a kontrola toho, kdo má k zálohám přístup.

Lidé s vyšším rizikovým profilem by měli zvážit přísnější opatření: samostatné zařízení pro citlivou komunikaci, bezpečnostní režimy typu Lockdown Mode nebo Advanced Protection, opatrnost u nečekaných odkazů a rychlou konzultaci s odborníky při podezřelých pádech aplikací, zprávách nebo pokusech o přihlášení.

Co má dělat malá firma

Malá firma často nepotřebuje drahý bezpečnostní program, ale potřebuje pořádek. První krok je inventář: jaká zařízení, účty, cloudové služby, domény, e-maily, VPN, NAS, weby a správcovská rozhraní firma používá. Bez inventáře se riziko nedá řídit, pouze odhadovat.

Druhý krok je zjistit, co je vystavené internetu. Mnoho incidentů nezačíná sofistikovaným zero-day útokem, ale službou, která nikdy neměla být veřejně dostupná, nebo zařízením, které roky nikdo neaktualizoval. U veřejně dostupných systémů musí být jasné, kdo je spravuje, jak se aktualizují a co se stane, když výrobce oznámí kritickou zranitelnost.

MFA by mělo být povinné pro e-mail, administraci, cloudové služby, VPN a účetnictví. Běžné účty je třeba oddělit od administrátorských. Přístup bývalých zaměstnanců a externistů má mít jasný proces rušení. Zálohy musí být buď offline, nebo immutable, aby je útočník nedokázal jednoduše smazat spolu s produkčními daty.

Malá firma potřebuje také jednoduchý incident response plán. Nemusí mít 80 stran. Stačí vědět, kdo rozhoduje, komu volat, kde jsou zálohy, jak odpojit kritický systém, kdo komunikuje se zákazníky a kde jsou uložené přístupy k doménám, hostingu a cloudovým službám. Při incidentu se improvizace rychle mění v drahou chybu.

Co má dělat větší organizace

Větší organizace musí řešit zero-day riziko jako systémový problém. Nestačí koupit EDR nebo SIEM a předpokládat, že tím je téma vyřešené. Tyto nástroje mohou být užitečné, ale pouze pokud existuje tým, který rozumí jejich signálům, má dostatečné logy a umí jednat.

Klíčový je attack surface management: vědět, co je dostupné zvenčí, které systémy jsou kritické, kdo je vlastní a jak rychle je lze izolovat nebo opravit. Centralizované logování a korelace událostí jsou důležité hlavně proto, že edge zařízení mohou být mimo běžnou endpointovou viditelnost. Pokud síťová brána nemá EDR agenta, musí existovat jiné zdroje důkazů: síťové logy, autentizační logy, změny konfigurace, anomálie v přístupu a integrita zařízení.

Segmentace sítě a least privilege snižují dopad průniku. Pokud kompromitovaná VPN brána nebo uživatelský účet automaticky otevírá cestu k doménovým řadičům, zálohám a produkčním databázím, problém není jen ve zranitelnosti. Problém je v architektuře.

Vulnerability management musí umět odlišit běžnou záplatu od stavu, kdy je potřeba obejít standardní change management. Při kritické exploitaci v praxi není vždy rozumné čekat na nejbližší plánované okno. Organizace potřebuje proces nouzové mitigace: dočasné vypnutí služby, omezení přístupu, síťová pravidla, izolaci komponentu nebo rychlé nasazení opravy.

Stejně důležité je testovat obnovu. Záloha, kterou nikdo nikdy neobnovil, je hypotéza. Tabletop cvičení pomáhají zjistit, zda lidé vědí, co dělat, kdo má rozhodovací pravomoc a kde proces závisí na jedné osobě, která nemusí být dostupná.

Zero Trust bez marketingových iluzí

Zero Trust neznamená koupit jeden produkt a přejmenovat VPN. Je to provozní princip: nikomu a ničemu se automaticky nedůvěřuje jen proto, že je „uvnitř sítě“. Přístup se ověřuje podle identity, zařízení, kontextu, oprávnění a rizika.

V praxi to znamená MFA pro administrátory, podmíněný přístup, oddělení administrátorských účtů, kontrolu stavu zařízení před přístupem, minimální oprávnění, segmentaci a audit přístupů. Dobrý Zero Trust snižuje implicitní důvěru a omezuje laterální pohyb po průniku.

Trade-off je v komplexitě. Špatně implementovaný Zero Trust může zpomalit uživatele, vytvořit množství výjimek, zvýšit zátěž helpdesku a dodat managementu falešný pocit kontroly. Nejhorší verze je taková, která přidá nové přihlašovací bariéry, ale nezmění oprávnění, segmentaci ani monitoring.

Proto dává smysl začít od nejrizikovějších přístupů: administrátoři, vzdálený přístup, cloudová administrace, produkční systémy, zálohy a identity. Teprve potom řešit širší transformaci.

PrintNightmare: když obyčejná tisková služba otevře velký problém

PrintNightmare je dobrá historická připomínka, že kritická zranitelnost nemusí přijít z exotického systému. Souvisela se službou Windows Print Spooler a rizikem vzdáleného spuštění kódu. V prostředí Windows domén byla tisková infrastruktura běžnou, často málo zpochybňovanou součástí provozu.

Microsoft v červenci 2021 vydal mimořádné bezpečnostní aktualizace pro CVE-2021-34527 a upozornil, že významnou roli hrála také nastavení Point and Print. Při nezabezpečené konfiguraci mohly organizace zůstat vystavené riziku i poté, co se problém veřejně řešil.

Pointa není v tom, že každá tisková služba je extrémně nebezpečná. Pointa je širší: bezpečnostní oprava není jen technická otázka. Může změnit provoz, administraci, uživatelský komfort i náklady IT oddělení. Pokud oprava ovlivní instalaci ovladačů, workflow helpdesku nebo oprávnění uživatelů, firma musí řešit bezpečnost i provozní dopad současně.

PrintNightmare zároveň ukázal, proč je nebezpečné mluvit o „automatickém získání práv správce domény“ bez kontextu. Reálný dopad závisel na konfiguraci, oprávněních, dostupnosti služby a architektuře prostředí. Přesnější je mluvit o možnosti vzdáleného spuštění kódu, eskalaci oprávnění a riziku širší kompromitace podle konkrétních podmínek.

Nový důraz: edge zařízení a enterprise infrastruktura

Nejdůležitější posun posledních let je útok na infrastrukturu, která byla dlouho vnímána jako ochranná vrstva. VPN brány, firewally, aplikační brány, bezpečnostní appliance, virtualizační platformy a identity systémy jsou pro útočníky atraktivní proto, že spojují tři vlastnosti: jsou vystavené, jsou důležité a často poskytují vysokou míru přístupu.

U endpointů už firmy investovaly do EDR, hardeningu, automatických aktualizací a detekce. Edge zařízení však často běží jako uzavřené appliance s omezenou možností instalovat agenty, slabší forenzní viditelností a méně komfortním logováním. Když se zranitelnost objeví právě tam, obránce může mít problém zjistit, zda už byla zneužita.

To mění prioritu bezpečnostních týmů. Nestačí sledovat notebooky a servery. Je třeba vědět, jaká zařízení chrání okraj sítě, jakou verzi firmwaru používají, kdo je administruje, jak se zálohují konfigurace, kam posílají logy a jak rychle je lze izolovat.

AI jako urychlovač, ne zázračná zbraň

AI do zero-day tématu patří, ale opatrně. Není důvod tvrdit, že sama vytvoří úplně nový bezpečnostní vesmír. Realističtější je, že urychlí existující činnosti: průzkum, hledání zranitelností, analýzu kódu, tvorbu exploitů, třídění cílů a automatizaci útoků.

GTIG očekává, že v roce 2026 bude AI urychlovat závod mezi útočníky a obránci. Útočníkům může zkrátit čas potřebný na průzkum, objevování zranitelností a vývoj exploitů. Obránci ji mohou použít ke zlepšení bezpečnostního provozu, dřívějšímu hledání chyb a rychlejší reakci.

Praktický závěr však není „kupme AI bezpečnostní nástroj“. Organizace, která neví, co vlastní, co má vystavené internetu, kdo má jaká oprávnění a kde má logy, nebude mít z AI velký užitek. AI může zvýšit výkon dobře nastaveného procesu. Slabý proces ale sama neopraví.

Praktický checklist

Pro jednotlivce dává smysl začít těmito kroky:

  • Aktualizovat operační systém, prohlížeč, mobil a důležité aplikace.
  • Používat pouze podporovaný software a zařízení.
  • Zapnout vícefaktorové ověření pro nejdůležitější účty.
  • Nepoužívat administrátorský účet pro běžnou práci, pokud to není nutné.
  • Zálohovat důležitá data a ověřit, že je lze obnovit.
  • Omezit počet rozšíření v prohlížeči a nepoužívaných aplikací.
  • Být opatrný u nečekaných příloh, odkazů a výzev k přihlášení.

Pro malou firmu jsou prioritní tato opatření:

  • Mít inventář zařízení, účtů, služeb a veřejně dostupných systémů.
  • Vědět, co je vystavené internetu a kdo za to odpovídá.
  • Pravidelně aktualizovat servery, notebooky, síťová zařízení a cloudové služby.
  • Vyžadovat MFA pro e-mail, administraci, cloud a VPN.
  • Oddělit běžné účty od administrátorských.
  • Používat offline nebo immutable zálohy.
  • Mít jednoduchý incident response plán a kontakty na technickou pomoc.

Pro větší organizaci je základem systémový přístup:

  • Attack surface management pro externí i interní aktiva.
  • Centralizované logování a korelace událostí.
  • EDR nebo XDR tam, kde má reálnou viditelnost a provozní smysl.
  • Segmentace sítě a omezení laterálního pohybu.
  • Least privilege a hardening identity infrastruktury.
  • Rychlé vyhodnocování kritických CVE a proces nouzové mitigace.
  • Bezpečná konfigurace edge zařízení a pravidelná kontrola jejich logů.
  • Test obnovy ze záloh a pravidelná tabletop cvičení incidentů.

Cílem není nulové riziko, ale menší dopad

Zero-day útokům se nedá úplně zabránit. Právě to je jejich podstata: využívají chybu, o níž obránce nemusí vědět nebo na niž ještě nemusí existovat oprava. Z toho ale nevyplývá, že obrana je zbytečná.

Reálná obrana nespočívá v jednom produktu. Stojí na snižování útočné plochy, rychlé detekci, omezení oprávnění, segmentaci, zálohách a schopnosti rozhodovat se pod tlakem. Antivir, firewall a aktualizace zůstávají důležité, ale jako samostatná odpověď na zero-day hrozby nestačí.

Nejpraktičtější způsob, jak o tomto tématu přemýšlet, je jednoduchý: nevíme, kde bude další chyba, ale víme, jak snížit počet míst, kde nás může zasáhnout. Víme, jak zkrátit čas, během kterého může útočník jednat bez odhalení. A víme, jak zmenšit škodu, pokud se dostane dovnitř. To není marketingový slib nulového rizika. Je to realistické řízení bezpečnosti.

Blog Ďalšie zaujímavé články
Recenze Naši spokojení zákazníci

Hledáte garanci kvality? Namísto dlouhých slibů necháváme mluvit naše klienty.

Váš nákupní košík
Nákupní košík neobsahuje položky
TonerDepot.cz
Přihlášení
Nemáte účet? Registrujte se teď
Menu