Wat is een zero-day?
Een zero-day is een kwetsbaarheid in software, firmware of hardware die aanvallers kunnen misbruiken voordat de leverancier er een patch of officiële mitigatie voor heeft uitgebracht. De naam verwijst naar het aantal dagen dat verdedigers hebben gehad om zich voor te bereiden: nul. Een zero-day-exploit is de code die zo’n lek misbruikt, een zero-day-aanval is de daadwerkelijke inzet ervan. Zodra er een patch of publieke melding is, spreekt men van een N-day.
Zero-days zijn bijzonder gevaarlijk in OT-omgevingen, omdat systemen daar vaak jaren draaien zonder updates of goede monitoring, en omdat een patch ook na publicatie pas in het volgende onderhoudsvenster kan worden geïnstalleerd.
🧠 Wat zijn de kenmerken van een zero-day?
| Eigenschap | Toelichting |
|---|---|
| Geen patch beschikbaar | De leverancier kent het lek niet, of heeft nog geen oplossing uitgebracht |
| Vaak al actief misbruikt | Het lek wordt ontdekt doordat aanvallers het in de praktijk gebruiken |
| Moeilijk te detecteren | Er bestaan nog geen signatures, dus antivirus en IDS-regels herkennen het niet |
| Hoge waarde | Zero-days zijn schaars en duur en worden vooral ingezet bij APT-campagnes, spionage of via de toeleveringsketen |
| Beperkte levensduur | Zodra de leverancier een advies of patch publiceert, wordt het lek een N-day, vrijwel altijd met een CVE-nummer |
Een zero-day is dus geen apart type kwetsbaarheid, maar een fase in de levenscyclus van een lek. Dezelfde fout in een PLC-webserver is een zero-day zolang er geen patch is, en een N-day zodra de leverancier een advies publiceert.
🔄 Wat is het verschil tussen een zero-day en een N-day?
| Kenmerk | Zero-day | N-day |
|---|---|---|
| Bekendheid | Alleen bij ontdekker of aanvaller | Publiek, met CVE en advies |
| Patch | Nog niet beschikbaar | Meestal beschikbaar, soms alleen een workaround |
| Detectie | Op gedrag en afwijkingen | Ook op signatures en kwetsbaarheidsscans |
| Typische aanvaller | Statelijke actoren, spywareleveranciers | Ook criminele groepen en ransomware-bendes |
| Aanpak | Inperken, detecteren, isoleren | Patchen of compenseren via vulnerability management |
Veel succesvolle aanvallen op OT gebruiken N-days in plaats van zero-days: patchen in productieomgevingen is traag, dus een lek dat al maanden bekend is, blijft lang bruikbaar. Mandiant analyseerde 138 in 2023 misbruikte kwetsbaarheden: 97 daarvan (70%) werden eerst als zero-day misbruikt, en de gemiddelde time-to-exploit daalde van 32 dagen (2021–2022) naar vijf dagen. Voor OT betekent dit dat het venster tussen “zero-day” en “massaal misbruikte N-day” kleiner is dan de gebruikelijke patchcyclus.
🏭 Welke zero-days troffen industriële systemen?
| Incident | Zero-day | Les voor OT |
|---|---|---|
| Stuxnet (ontdekt 2010) | Vier Windows-zero-days, onder meer in de verwerking van snelkoppelingen (MS10-046) en de printspooler (MS10-061) | Een air gap stopt geen aanval via USB en projectbestanden |
| TRITON (2017) | Privilege-escalatie in de firmware van de Triconex Tricon MP 3008 (versies 10.0–10.4, CVE-2018-7522) | Ook een veiligheidssysteem kan een onbekend lek bevatten |
| Ivanti Connect Secure (januari 2024) | Twee gekoppelde zero-days (CVE-2023-46805 en CVE-2024-21887) in een VPN-gateway | Toegangsapparatuur aan de rand van het netwerk is een favoriet doelwit |
| Hypothetisch | Lek in de webinterface van een PLC of de firmware van een HMI | Remote code execution of gemanipuleerde operatorinformatie zonder logging |
Stuxnet misbruikte daarnaast een hardcoded databasewachtwoord in WinCC, maar dat was al sinds 2008 publiek bekend en dus strikt genomen geen zero-day. De Google Threat Intelligence Group telde 75 misbruikte zero-days in 2024 (98 in 2023). 44% richtte zich op bedrijfsproducten, en 20 van die 33 zaten in beveiligings- en netwerkapparatuur zoals VPN-gateways en firewalls. Dat zijn precies de systemen die toegang op afstand tot OT-netwerken bieden.
🔐 Hoe beschermt u OT tegen zero-days?
Tegen een onbekend lek bestaat geen patch, dus de verdediging richt zich op het beperken van de schade en het snel opmerken van misbruik. Dat is de kern van Defense in Depth.
| Maatregel | Wat het doet tegen zero-days |
|---|---|
| Netwerksegmentatie | Beperkt laterale beweging; een gekraakt systeem bereikt niet direct de besturing |
| Anomaliedetectie | Herkent afwijkend gedrag en nieuwe verbindingen zonder signature |
| Application Whitelisting | Alleen goedgekeurde programma’s mogen draaien, ook als een exploit slaagt |
| SBOM en assetinventaris | Laat binnen uren zien of een nieuw gemeld lek in uw installatie voorkomt |
| Threat Intelligence | Waarschuwt zodra misbruik in het wild wordt gezien, vaak vóór de patch |
| Patchmanagement | Installeert de fix zodra die er is, met voorrang voor actief misbruikte lekken |
| Incident Response Plan | Procedures klaar voor tijdelijke mitigatie, isolatie en herstel |
Stappenplan bij een nieuw gemelde zero-day
- Bepaal de blootstelling - zoek in de assetinventaris en SBOM welke systemen het kwetsbare product of de bibliotheek bevatten.
- Beoordeel de bereikbaarheid - is het systeem vanaf internet of het kantoornetwerk te bereiken, of alleen vanuit een afgeschermde zone?
- Pas tijdelijke mitigaties toe - volg de workaround van de leverancier, blokkeer poorten of diensten, of gebruik een IPS-regel als virtuele patch.
- Verscherp de detectie - zet extra monitoring op de betrokken zone en zoek met threat hunting naar sporen van eerder misbruik.
- Patch zo snel als veilig kan - test in een representatieve omgeving en plan het onderhoudsvenster, met voorrang voor lekken op de KEV-lijst.
- Evalueer - leg vast wat werkte en pas segmentatie en beleid aan.
🧱 Welke regels gelden in Nederland en de EU?
- Cyber Resilience Act - fabrikanten moeten vanaf 11 september 2026 actief misbruikte kwetsbaarheden melden via het platform van ENISA: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk 14 dagen nadat een correctieve maatregel beschikbaar is (zie CRA-meldplicht).
- Cyberbeveiligingswet - de Nederlandse uitwerking van NIS2 is sinds 15 augustus 2026 van kracht. Exploitatie van een zero-day die tot een significant incident leidt, valt onder de meldplicht aan het CSIRT, voor de meeste sectoren het NCSC.
- IEC 62443 - deel IEC 62443-4-1 eist van leveranciers een proces voor het afhandelen van gemelde kwetsbaarheden en het uitbrengen van updates, en IEC 62443-3-3 beschrijft zones en conduits die de impact van een lek beperken.
- Responsible Disclosure - onderzoekers melden een gevonden lek eerst vertrouwelijk aan de leverancier. Google Project Zero hanteert daarbij een termijn van 90 dagen voordat details openbaar worden.
❓ Veelgestelde vragen
Waarom heet het een zero-day?
De term zero-day verwijst naar het aantal dagen dat de leverancier en verdedigers hebben gehad om een lek te verhelpen: nul. Op het moment dat een aanvaller een zero-day misbruikt, bestaat er nog geen patch.
Hoe vaak komen zero-days voor?
De Google Threat Intelligence Group telde 75 in het wild misbruikte zero-days in 2024 en 98 in 2023. Het werkelijke aantal ligt waarschijnlijk hoger, omdat niet elk misbruik wordt ontdekt of gemeld.
Zijn zero-days in PLC’s en andere OT-apparatuur gebruikelijk?
Zero-days in PLC’s en veiligheidscontrollers zijn zeldzaam, omdat het ontwikkelen ervan specifieke apparatuur en veel kennis vereist; TRITON is een van de weinige bekende voorbeelden. Vaker treffen zero-days de IT-systemen rond OT, zoals Windows-engineeringstations, VPN-gateways en firewalls.
Beschermt een air gap tegen zero-days?
Een air gap verkleint het aanvalsoppervlak, maar beschermt niet volledig tegen zero-days. Stuxnet liet zien dat malware via USB-sticks en projectbestanden een geïsoleerd netwerk kan bereiken en daar onbekende lekken kan misbruiken.
Wat is een virtuele patch tegen een zero-day?
Een virtuele patch is een regel in een IPS of firewall die het misbruik van een kwetsbaarheid blokkeert zonder het kwetsbare systeem zelf aan te passen. In OT overbrugt een virtuele patch de periode tot het volgende onderhoudsvenster, maar vervangt de echte patch niet.
Moet ik een zero-day melden onder de Cyberbeveiligingswet?
Een zero-day zelf hoeft u als gebruiker niet te melden, maar een significant incident dat door misbruik ervan ontstaat wel. Fabrikanten van producten met digitale elementen moeten actief misbruikte kwetsbaarheden daarnaast vanaf 11 september 2026 binnen 24 uur melden onder de Cyber Resilience Act.
📌 Samengevat
Een zero-day is een lek waarvoor nog geen patch bestaat en dat daardoor buiten het bereik van signature-detectie en reguliere patchcycli valt. Voor OT, waar systemen lang draaien en patchen traag gaat, is patchen alleen dus nooit genoeg.
Zero-days zijn onzichtbare dreigingen die elk systeem kunnen treffen, ongeacht hoe up-to-date het lijkt. Wie segmentatie, monitoring, een actuele assetinventaris en een geoefend responsplan op orde heeft, beperkt de schade van het lek dat nog niemand kent.