Zero-day
Definición
Vulnerabilidad desconocida públicamente y sin parche disponible. El nombre viene de que el vendor tiene 'cero días' para reaccionar antes del primer ataque.
Zero-day exploitada in-the-wild: la peor combinación — alguien la está usando ya y no hay forma de mitigarla con un parche. La defensa pasa por workaround del vendor (deshabilitar feature, regla WAF, network rule) o by aceptar el riesgo hasta que llegue el parche.
Mercado: zero-days se venden caro. Zerodium pagó hasta 2.5M$ por iOS RCE no-click. Estado actor compradores (NSO Group, Candiru) o programs de bug bounty extendidos (Google Project Zero, GitHub Security Lab).
Distinto de n-day (vulnerabilidad ya parcheada pero usada en sistemas sin parche) y de proof-of-concept público (PoC) que acelera la explotación tras el parche.