软件厂商还没有进行修复的漏洞叫什么漏洞

软件厂商还没有进行修复的软件漏洞，业内通常叫它“零日漏洞”（Zero-Day Vulnerability）。厂商这个叫法的还没逻辑很直白：厂商从得知漏洞存在的那一天算起，手里可以用来修复它的有进时间窗口是零天。换句话说，行修防御方还没上场，漏洞漏洞攻击方已经在场上跑了。软件

零日这个词最早在上世纪九十年代的厂商地下黑客圈子里流传，后来被安全行业正式收编。还没它描述的有进不是漏洞的技术类型，而是行修漏洞的披露状态——厂商不知情，或者知情但补丁还没做出来。漏洞漏洞一个缓冲区溢出可以是软件零日，一个逻辑缺陷也可以是厂商零日，关键不在于它长什么样，还没而在于厂商手里有没有对应的修复方案。

很多人会把零日漏洞和“未修复漏洞”混着用，但两者之间有细微差别。未修复漏洞的范围更大，包括厂商已经知道、正在修但还没修完的。零日更窄，强调的是厂商压根不知道，或者刚知道还没来得及反应的那个阶段。安全圈里还有一个说法叫“N日漏洞”（N-Day），指的是补丁已经发布但大量用户还没打上的漏洞。这三个概念的时间线是这样的：零日（厂商无补丁）→ 补丁发布 → N日（用户未打补丁）。

零日漏洞的发现途径大致有几条。安全研究员在逆向工程或模糊测试中偶然撞见，这是最常见的一种。厂商内部代码审计时发现，但这类通常很快就被内部修掉了，流到外面的概率低。还有一种不太光彩的路径：攻击者先发现漏洞，转手卖给漏洞掮客，掮客再卖给情报机构或政府背景的买家。零日漏洞在黑市上的价格从几千美元到数百万美元不等，取决于目标系统的普及度和漏洞的利用价值。一个能远程攻破iPhone的零日，报价可以到250万美元以上。

2010年的“震网”（Stuxnet）病毒是零日漏洞实战化的标志性案例。它利用了四个Windows零日漏洞，外加两个西门子工控系统的漏洞，专门针对伊朗核设施的离心机进行破坏。这件事让全世界意识到，零日漏洞不只是黑客炫技的工具，它可以变成国家级网络武器。从那以后，零日漏洞的军事和情报价值被重新评估，各国开始系统性地囤积和利用零日。

零日漏洞最麻烦的地方在于防御几乎无从下手。基于签名的杀毒软件认不出从没见过的攻击模式，基于行为的检测又容易被绕过。厂商没有补丁，用户能做的只有限制暴露面、加强监控、寄希望于运气。安全团队面对零日攻击时的无力感，是这行最真实的挫败来源之一。

不过零日漏洞的“保质期”通常不长。一旦攻击被捕获、样本被分析，厂商很快会推出补丁。Mandiant和Google Project Zero这类团队专门做零日漏洞的发现和披露，他们的策略是给厂商90天修复期，到期就公开细节。这个倒计时机制逼着厂商加快节奏，但也引发过不少争议——90天对某些复杂漏洞来说确实不够。

零日漏洞的存在揭示了一个事实：软件不可能绝对安全。代码是人写的，人就会犯错。厂商的修复能力再强，也跑不过漏洞被发现的速度。对普通用户来说，能做的其实有限——保持系统更新、别乱点链接、用靠谱的安全软件，剩下的只能交给概率。对厂商来说，零日漏洞是对响应速度和工程能力的持续考验，没有一劳永逸的解法。