Exploit zero-day
Un exploit per una vulnerabilità che il produttore non conosce — «zero giorni sono trascorsi dalla scoperta».
Valori di mercato: uno zero-day RCE per iOS in Lockdown Mode viene scambiato a oltre 7 milioni di dollari presso broker come Zerodium o Crowdfense. Il mercato più ampio è quello di NSO Group (Pegasus), storicamente Hacking Team, e degli attori statali. Lo zero-click di Pegasus via iMessage (FORCEDENTRY, 2021) ne fu un esempio spettacolare. I bug bounty dei produttori (Apple Security Research, Google VRP) fanno concorrenza al mercato degli 0day, ma pagano un ordine di grandezza in meno. Stuxnet (2010) concatenò quattro zero-day di Windows in un unico attacco.