Zero day-exploits en de onderliggende lekken waar ze misbruik van maken blijven gemiddeld 6,9 jaar verborgen voordat de leverancier in kwestie met een update komt, zo beweert de RAND Corporation op basis van eigen onderzoek (pdf) waarbij meer dan 200 zero day-lekken werden onderzocht.

Volgens de onderzoekers hebben zero day-lekken een gemiddelde levensduur van 6,9 jaar. Het gaat dan om de tijd tussen de ontdekking en het openbaar worden van de kwetsbaarheid. Een kwart wordt na 1,5 jaar openbaar, terwijl een zelfde percentage 9,5 jaar weet te overleven. Van de meer dan 200 onderzochte zero day-lekken is 40 procent volgens de onderzoekers nog altijd onbekend. Het gaat om kwetsbaarheden die tussen 2002 en 2016 zijn gevonden.

De kans dat twee mensen hetzelfde beveiligingslek vinden is met een percentage van 5,7 procent vrij klein. Zodra een kwetsbaarheid is ontdekt blijkt het ontwikkelen van een werkende exploit snel te kunnen worden uitgevoerd, met een gemiddelde van 22 dagen. "Dit houdt in dat elke serieuze aanvaller waarschijnlijk een betaalbare zero-day voor bijna elk doelwit kan verkrijgen, gegeven de typische levensduur van dergelijke kwetsbaarheden en korte ontwikkeltijd", aldus de onderzoekers.

Het onderzoek werd uitgevoerd vanwege de discussie in de Verenigde Staten en andere landen of overheden zero day-lekken moeten verzamelen in plaats van openbaar maken. Volgens de onderzoekers gaat het in de discussie vaak over de overlap tussen de zero day-lekken die de VS heeft en die door vijandige landen worden verzameld. Als beide partijen dezelfde lekken hebben, dan stellen sommige mensen dat het weinig nut heeft om ze geheim te houden, terwijl een kleinere overlap juist het geheimhouden misschien zou rechtvaardigen. Een concreet antwoord geven de onderzoekers niet, aangezien dit van de gekozen visie afhankelijk is, zo merken ze op.

Daarnaast stellen ze dat spear-phishing nog altijd een grote aanvalsvector is die meestal geen gebruik van zero day-lekken maakt. Een groot deel van de aanvallen maakt juist gebruik van bekende kwetsbaarheden. "Het is dus niet duidelijk hoeveel aandacht er aan zero day-lekken en hun exploits moet worden gegeven: Is het met zo weinig gebruikers die patches voor bekende lekken installeren verstandig om op het relatief kleine aantal zero day-lekken te focussen?", stellen de onderzoekers de vraag. Aan de andere kant merken ze op dat in beveiligde omgevingen een zero day-aanval soms de enige manier kan zijn om binnen te komen.