「零時差漏洞遭利用」經常登上新聞標題，聽起來防不勝防。但對多數企業來說，更常見的情況是另一種：原廠早就發布修補，自己的系統卻還沒更新。從修補發布到實際套用之間的這段空窗，就是 N-day 漏洞的舞台。
這篇說明零時差與 N-day 的差別、攻擊者如何在修補發布後快速做出攻擊程式、為什麼 VPN 與防火牆這類邊界設備特別容易成為目標，以及原廠還沒有修補時，防守方可以先做哪些事。適合管理對外系統與網路設備的 IT 人員與主管閱讀。
名詞定義：零時差與 N-day
NIST 將零時差攻擊定義為「利用先前未知的硬體、韌體或軟體漏洞的攻擊」[1]。Google 旗下的 Mandiant 在統計漏洞利用時間時用更具體的切法：修補釋出之前就遭利用的是零時差（不含已停止支援的產品），修補釋出之後才首次遭利用的是 N-day[2]。業界也常把修補剛發布、短時間內就遭利用的情況稱為 1-day，本質上仍屬於 N-day。
這組名詞描述的是「被利用的時間點」與「修補發布」的先後，不是嚴重程度。同一個漏洞，在修補發布前遭利用是零時差；修補發布之後，對還沒更新的組織來說，它就成了 N-day。
修補一發布，倒數就開始
修補程式本身就是線索。攻擊者可以比對修補前後的程式差異（業界稱為 patch diffing），找出被修改的程式碼，反推漏洞所在，再寫出攻擊程式。NIST 的修補管理指引也指出，漏洞一旦公開，攻擊者更可能針對它開發攻擊程式，風險通常隨之上升[3]。
這段空窗有多短？Mandiant 分析 2023 年遭利用的漏洞，平均利用時間（time-to-exploit，排除極端值後）只有 5 天；N-day 中有 12% 在修補發布後一天內就遭利用、29% 在一週內、超過一半（56%）在一個月內[2]。Mandiant 在 2026 年 3 月發表的 M-Trends 2026 更估計，平均利用時間已降到負 7 天，也就是利用經常在修補發布之前就已開始；漏洞利用也連續第六年是最常見的初始入侵途徑，占入侵案件的 32%[4]。
零時差越來越多，為什麼還說「已有修補」的漏洞最常被利用
數據確實顯示零時差的比例在上升：Mandiant 統計 2023 年遭利用的漏洞中，零時差與 N-day 的比例是 70 比 30[2]；美國 CISA 與多國機關整理的 2023 年最常被利用漏洞清單，也有過半最初是以零時差形式遭利用[5]。
但同一份 CISA 報告也指出，攻擊者最常成功利用的，是公開揭露後兩年內的漏洞[5]。一個漏洞最初也許是零時差，可是只要修補發布後仍有大量系統沒有更新，它就會在之後很長一段時間內持續被利用。CISA 的 KEV 目錄在 2026 年 11 月 6 日的版本收錄了 1,769 個已確認遭利用的漏洞，每一筆都附有明確的處置要求，例如依原廠指示更新或套用緩解措施[6]。對一般企業來說，最常見的風險不是無從防範的零時差，而是已經有解、卻還沒套用的漏洞。
為什麼攻擊者鎖定邊界設備
Google 威脅情報小組（GTIG）統計，2025 年共有 90 個零時差漏洞在真實環境中遭利用，其中 43 個（48%）針對企業軟體與設備，創下新高；這 43 個之中約一半（21 個）是資安與網路產品。就整體而言，全年有 14 個零時差被確認影響邊界設備，GTIG 認為這個數字可能低估，因為這類設備上的偵測能力有限[7]。
GTIG 歸納的原因很直接[7]：
- 邊界設備位在企業網路的最外圈，是高價值目標。
- 路由器、交換器與資安設備大多沒有 EDR（端點偵測與回應），形成防守方的盲點，被入侵後也難以蒐集主機層級的證據。
- 這類設備權限高、連接範圍廣，攻擊者取得控制後可以進一步進入內部網路。
修補節奏也是問題。NIST 指出，例行修補常因為需要重新開機、可能中斷營運而被延後，等於替攻擊者多開了幾扇窗[3]。防火牆與 VPN 一更新就影響全公司連線，最容易落入這種狀況。
已停止支援（EOS）的設備風險更高：原廠不再提供更新，之後發現的每一個漏洞都不會有修補。美國 CISA 在 2026 年 2 月發布約束性營運指令 BOD 26-02，指出已有進階威脅行為者針對 EOS 邊界設備發動大規模利用，要求聯邦民政機關在 3 個月內完成盤點、18 個月內移除所有 EOS 邊界設備，並在 24 個月內建立持續發現邊界設備的機制[8]。這項指令只約束美國聯邦機關，但盤點與汰換的做法同樣適用於台灣企業。更多強化做法可參考VPN、防火牆與邊界設備的安全強化清單。
沒有修補時，防守方能做什麼
零時差公告出來時，原廠常常只有緩解建議，修補還在路上。NIST 修補管理指引把這種情況列為「緊急緩解」：在修補可用之前先用暫時措施降低風險，例如停用有漏洞的功能，或用防火牆與網段隔離縮小攻擊面；對於無法修補的資產，則以隔離等方式長期控管[3]。KEV 目錄中許多漏洞的處置要求也是同一個邏輯：依原廠指示套用緩解措施，沒有可用的緩解措施時，就停止使用該產品[6]。
先縮小暴露面
- 確認受影響的介面（例如 SSL VPN 入口、設備管理頁面）是否真的需要對網際網路開放；管理介面應只允許內部管理網段或特定來源 IP 連線。
- 依原廠公告套用暫時緩解：停用受影響的功能或服務、調整設定、更新 IPS 或 WAF 規則。
- 無法緩解而風險又高時，評估暫時關閉服務或改用替代方案，並把決策、負責人與檢討時間記錄下來。
假設可能已被入侵
修補只能堵住漏洞，不會把已經進來的攻擊者趕出去。CISA 的 BOD 26-04 對風險最高的一級漏洞，除了要求 3 天內完成修補或緩解，還要求對受影響資產做鑑識初判，確認是否已遭入侵[9]。實務上可以：
- 把邊界設備的日誌（登入、設定變更、管理帳號異動）即時送到設備以外的集中平台保存，避免攻擊者清除紀錄。
- 原廠或通報單位公布入侵指標（IOC）時，立刻回頭搜尋日誌；做法可參考如何使用通報中的 IOC 比對自己的環境。
- 執行原廠提供的完整性檢查工具，檢視是否出現不明帳號、排程或設定。
- 發現入侵跡象時，依照疑似遭入侵的前 24 小時一文的步驟應變。
修補一出來就上
事先準備好緊急修補流程：誰可以核准停機、維護時段怎麼協調、更新失敗如何回復。NIST 也提醒，平時延後例行修補，會讓緊急修補更困難、更耗時，因為必須先補上前面累積、新修補所依賴的更新[3]。持續追蹤原廠公告與本站的資安通報，修補一發布就能啟動。