Apa Itu Kerentanan Zero-Day? Pengertian dan Contohnya

Kerentanan zero-day adalah celah keamanan pada perangkat lunak, firmware, atau perangkat keras yang belum diketahui pembuatnya, sehingga belum ada tambalan saat celah itu mulai dieksploitasi. Karena vendor baru punya nol hari untuk memperbaikinya, zero-day menjadi salah satu ancaman yang paling sulit dibendung oleh tim keamanan.

Apa Itu Kerentanan Zero-Day?

NIST mendefinisikan zero-day attack sebagai serangan yang mengeksploitasi kerentanan perangkat keras, firmware, atau perangkat lunak yang sebelumnya tidak diketahui. Istilah ini sering dipakai longgar untuk tiga hal yang sebenarnya berbeda:

• Zero-day vulnerability: celah yang belum diketahui vendor atau belum punya perbaikan.
• Zero-day exploit: kode atau teknik yang memanfaatkan celah tersebut.
• Zero-day attack: serangan nyata yang memakai eksploit itu terhadap korban.

Setelah vendor merilis tambalan, celah yang sama tidak lagi disebut zero-day. Ia menjadi kerentanan yang sudah dikenal, biasanya diberi nomor CVE, dan risikonya bergeser menjadi soal seberapa cepat pengguna memasang pembaruan. Penjelasan tentang penomoran itu ada di artikel apa itu CVE.

Bagaimana Siklus Hidup Zero-Day?

Perjalanan sebuah zero-day umumnya mengikuti alur berikut.

1. Celah muncul saat perangkat lunak ditulis, tetapi belum diketahui siapa pun.
2. Seseorang menemukannya: peneliti keamanan, pengembang eksploit, atau pelaku kejahatan.
3. Jika ditemukan peneliti, celah dilaporkan ke vendor melalui jalur yang bertanggung jawab. Jika ditemukan pihak jahat, celah bisa dipakai diam-diam atau dijual.
4. Eksploitasi dalam kehidupan nyata terdeteksi, biasanya lewat analisis insiden atau laporan korban.
5. Vendor merilis tambalan dan mengumumkan celahnya.
6. Pengguna memasang pembaruan. Selama pembaruan belum terpasang, sistem tetap rentan.

Tahap pelaporan yang tertib dibahas di artikel responsible disclosure. Tanpa jalur itu, celah mudah berpindah ke tangan yang salah.

Contoh Kerentanan Zero-Day yang Pernah Terjadi

Log4Shell (CVE-2021-44228)

Log4Shell adalah celah eksekusi kode jarak jauh pada pustaka Java Apache Log4j versi 2.0-beta9 hingga 2.14.1. Menurut advisori CISA, celah ini diumumkan pada 10 Desember 2021, dan eksploitasi dilaporkan sudah dimulai sekitar 1 Desember 2021, sebelum pengumuman. Pemanfaatan celah ini sangat luas karena Log4j tertanam di banyak aplikasi. CISA menegaskan bahwa perbaikan dilakukan dengan memperbarui Log4j itu sendiri ke versi 2.17.0, bukan sekadar memperbarui Java.

FORCEDENTRY pada produk Apple (CVE-2021-30860)

Citizen Lab menemukan eksploit ini di ponsel seorang aktivis yang terinfeksi spyware Pegasus. Celah berada pada pustaka pemrosesan gambar Apple dan dipakai tanpa interaksi korban. Apple menambalnya di iOS 14.8 dan pembaruan sistem lain pada September 2021. Cara kerja serangan tanpa klik seperti ini dijelaskan di artikel tentang zero-click attack.

CVE-2025-43200 pada iMessage

Citizen Lab melaporkan pada Juni 2025 bahwa dua jurnalis menjadi target spyware Graphite melalui celah zero-day di iMessage. Apple memitigasinya pada iOS 18.3.1.

Tiga contoh ini menunjukkan pola yang sama: celah dipakai lebih dulu, baru diketahui publik, lalu ditambal.

Mengapa Zero-Day Sangat Berbahaya?

• Tidak ada tambalan. Pengguna yang disiplin memperbarui sistem pun tetap rentan sampai vendor merilis perbaikan.
• Tanda tangan serangan belum dikenal. Antivirus dan sistem deteksi berbasis pola sering gagal karena belum ada pola yang bisa dicocokkan.
• Nilai ekonomi tinggi. Eksploit untuk produk populer bisa dijual mahal, sehingga banyak pihak berinvestasi menemukannya.
• Jangkauan luas. Satu celah di komponen yang dipakai bersama, seperti pustaka logging, memengaruhi ribuan produk sekaligus.

Cara Melindungi Diri dari Zero-Day

Anda tidak dapat menambal celah yang belum diketahui, tetapi Anda bisa memperkecil dampaknya melalui lapisan pertahanan.

• Perbarui sistem secepat mungkin. Begitu tambalan terbit, jendela risiko mulai menutup. Prioritaskan celah yang sudah dieksploitasi. CISA memelihara katalog Known Exploited Vulnerabilities, daftar celah dengan bukti eksploitasi nyata yang bisa dipakai untuk menentukan prioritas.
• Terapkan prinsip hak akses minimum. Akun atau layanan yang disusupi hanya boleh menjangkau data yang memang dibutuhkan.
• Segmentasi jaringan. Pisahkan sistem penting agar satu server yang bobol tidak membuka seluruh jaringan.
• Kurangi permukaan serangan. Matikan layanan dan port yang tidak perlu serta batasi sistem yang terpapar internet.
• Pantau perilaku, bukan hanya tanda tangan. Log terpusat, EDR, dan deteksi anomali membantu menemukan aktivitas aneh pada celah yang belum bernama. Pelajari fungsinya di artikel SIEM.
• Siapkan rencana respons insiden. Tentukan siapa yang memutuskan mengisolasi sistem dan bagaimana pemulihannya.

Organisasi yang ingin menguji seberapa tahan lingkungannya terhadap eksploitasi dapat memanfaatkan layanan keamanan Linuxhackingid dengan izin tertulis yang jelas, sesuai ketentuan UU ITE.

Bagaimana Zero-Day Ditemukan dan Dilaporkan secara Legal?

Peneliti keamanan menemukan celah lewat tinjauan kode, pengujian terhadap perangkat lunak miliknya sendiri atau yang diizinkan, dan program bug bounty yang dibuka vendor. Temuan kemudian dilaporkan secara tertutup kepada vendor agar perbaikan disiapkan sebelum detail teknis dipublikasikan. Cara ini melindungi pengguna sekaligus memberi peneliti pengakuan yang sah.

Menguji sistem milik pihak lain tanpa izin tertulis bukan penelitian, melainkan akses ilegal yang dapat dipidana menurut hukum Indonesia. Karena itu, siapa pun yang belajar menemukan celah sebaiknya berlatih di lingkungan lab sendiri atau pada program yang secara eksplisit mengizinkan pengujian.

Baca juga: Pengertian Remote Code Execution (RCE) dan Cara Mencegahnya.

Pertanyaan yang Sering Diajukan

Apa bedanya zero-day dan CVE?

CVE adalah sistem penomoran untuk kerentanan yang sudah diumumkan. Sebuah zero-day bisa memiliki nomor CVE setelah vendor atau peneliti mengumumkannya, tetapi pada saat dieksploitasi pertama kali ia belum dikenal publik.

Apakah semua kerentanan zero-day dieksploitasi?

Tidak. Banyak celah ditemukan peneliti dan dilaporkan lebih dulu sehingga ditambal sebelum ada serangan. Istilah zero-day attack hanya berlaku bila celah benar-benar dipakai menyerang.

Apakah pengguna biasa perlu khawatir soal zero-day?

Perlu waspada tetapi tidak perlu panik. Pembaruan otomatis, kata sandi unik, autentikasi dua faktor, dan kebiasaan tidak membuka berkas mencurigakan sudah mengurangi sebagian besar risiko.

Kesimpulan

Zero-day adalah celah yang dipakai sebelum perbaikan tersedia, dan itulah yang membuatnya sulit dicegah dengan satu alat. Kuncinya adalah pembaruan cepat, akses minimum, segmentasi, dan pemantauan yang baik. Jika Anda ingin memahami cara tim keamanan menemukan dan melaporkan celah secara legal, Linuxhackingid menyediakan pembelajaran bertahap untuk pemula hingga praktisi.