Zero-day

Всяка програма има грешки в кода. Повечето са безобидни - бутон, който не пасва, екран, който трепва. Но някои грешки отварят врата: позволяват на непознат да изпълни собствен код в чужд компютър, да открадне данни или да поеме контрол отдалечено. Такава грешка се нарича уязвимост. Открие ли я производителят, пуска кръпка - актуализация, която я затваря. Zero-day е уязвимостта, за която кръпка още няма.

На практика изглежда така: изследовател или хакер намира дупка в браузър, в телефон, в счетоводна програма. Пише малко парче код - експлойт, - което използва точно тази дупка, за да влезе. Продаде ли го или го използва тихо, вместо да съобщи на производителя, дупката остава отворена за всички жертви, докато някой друг не я забележи и не вдигне тревога. Между откриването и кръпката могат да минат дни, месеци, понякога години.

Съществува, защото никой софтуер не е перфектен. Милиони редове код, писани от хиляди хора, при огромен натиск да излязат бързо на пазара - грешка се промъква гарантирано. Въпросът никога не е дали има дупки, а кой ще ги намери пръв: изследовател, който ще съобщи отговорно, или някой, който ще ги продаде на онзи, дал повече.

Затова има цял пазар около това. Държавни разузнавания плащат сериозни суми за неразкрити дупки в телефони и операционни системи - за шпионаж, не за защита. Има и обратната страна: компании плащат награда на изследователи, които намерят дупка и я докладват тихо, вместо да я продадат. Разликата между двете е разликата между заключена врата и врата, оставена нарочно отворена за онзи, който плати повече.

Обратният ред изглежда така. На 6 октомври 2026 SonicWall публикува бюлетин за четири дупки в устройствата си от серията SMA1000. Първата, CVE-2026-102255, позволява на нападател без парола да накара устройството да праща заявки вместо него, и SonicWall я оценява с 10.0, най-високата възможна оценка. Кръпката излезе заедно с бюлетина. По думите на SonicWall няма данни дупката да се използва в атаки, а към 9 октомври не е и в каталога KEV на CISA. В благодарностите стои изследовател от Anthropic. Най-високата оценка не прави една дупка zero-day. Прави я редът: дали първо идва кръпката, или атаката.

Ето и истински нулев ден, използван много преди кръпката. По данни на BeyondTrust подозирана шпионска група с връзки към Китай е използвала дупка в Remote Support на 29 август 2026 срещу двама клиенти. Поправката излезе на 8 октомври, а дупката беше обявена на 15 октомври. Производителят предупреждава, че щом дупката стане публична, групата обикновено минава от подбрани цели към масови атаки срещу всеки необновен екземпляр. На 16 октомври CISA я вписа в каталога KEV.

Zero-day не е бъг, който чакаш да го оправят. Бъгът е известен риск. Zero-day е дупка, през която в момента, в който четеш това, някой може вече да минава - а ти дори не знаеш, че тя съществува.

Тук ме сърби

Ключалка без ключар - това е zero-day. Имаш врата, имаш ключалка, изглежда сигурно. Но ключарят, който трябва да я поправи, дори не знае, че тя е счупена. И докато той не разбере, вратата стои отворена за всеки, който я е пробвал първи.

Работя със системи, които говорят с интернет по цял ден - агенти, автоматизации, инструменти, свързани едни с други. Всеки от тях е потенциална ключалка без ключар, докато не му обърнеш внимание. Не се плаша от това - плаша се от увереността, че всичко е наред, защото досега не е гръмнало. Zero-day е точно тази тишина преди проблема, не самият проблем.

Визуалът е генериран код-арт, без чужди изображения.