Zero-day is een fout in software, hardware of firmware die onbekend is bij de partij of partijen die verantwoordelijk zijn voor het patchenKlik op het woord voor de betekenis of anderszins repareren van de fout. De term zero-day kan betrekking hebben op de kwetsbaarheidKlik op het woord voor de betekenis zelf, of op een aanval die nul dagen heeft tussen het moment dat de kwetsbaarheid wordt ontdekt en de eerste aanval. Als een zero-day kwetsbaarheid eenmaal openbaar is gemaakt, wordt het een n-day- of one-day exploit genoemd.
Normaal gesproken, wanneer iemand ontdekt dat een softwareprogramma een potentieel beveiligingsprobleem bevat, zal die persoon of dat bedrijf het softwarebedrijf (en soms de hele wereld) op de hoogte brengen zodat er actie kan worden ondernomen. Gezien de tijd kan het softwarebedrijf de code repareren en een patchKlik op het woord voor de betekenis of software-update distribueren. Zelfs als potentiële aanvallers over de kwetsbaarheid horen, kan het hen enige tijd kosten om deze uit te buiten; ondertussen zal de fix hopelijk eerst beschikbaar komen. Soms kan een hacker echter als eerste de kwetsbaarheid ontdekken. Omdat de kwetsbaarheid niet op voorhand bekend is, is er geen manier om te waken tegen de exploit voordat deze plaatsvindt. Bedrijven die aan dergelijke exploits worden blootgesteld, kunnen echter wel procedures instellen voor vroegtijdige opsporing.
Beveiligingsonderzoekers werken samen met leveranciers en komen meestal overeen om alle details van zero-day kwetsbaarhedenKlik op het woord voor de betekenis gedurende een redelijke periode achter te houden voordat ze worden gepubliceerd. Google Project Zero, bijvoorbeeld, volgt de richtlijnen van de industrie die leveranciers tot 90 dagen de tijd geven om een kwetsbaarheid te herstellen voordat de vinder van de kwetsbaarheid de fout publiekelijk bekend maakt. Voor kwetsbaarheden die als “kritiek” worden beschouwd, staat Project Zero slechts zeven dagen toe voor de leverancier om te patchen voordat de kwetsbaarheid wordt gepubliceerd; als de kwetsbaarheid actief wordt uitgebuit, kan Project Zero de reactietijd verkorten tot minder dan zeven dagen.