Het aantal actief misbruikte zerodaylekken is vorig jaar sterk gestegen, en dan met name in Android en Safari, zo stelt Google op basis van eigen onderzoek in een nieuw rapport (pdf). Vorig jaar telde het techbedrijf 97 zerodays, tegenover 62 een jaar eerder. Zerodays zijn actief misbruikte kwetsbaarheden waar op het moment van de aanval geen update voor beschikbaar is.

Spywareleveranciers spelen een belangrijke rol bij het ontwikkelen en gebruiken van zerodaylekken. De meeste zerodays in smartphones en browsers worden door Google toegeschreven aan 'commerciële surveillanceleveranciers'. Telde Safari in 2022 nog drie zerodays waarmee gebruikers werden aangevallen. Dat aantal steeg vorig jaar naar elf. Het aantal gedetecteerde zerodaylekken in Android ging van drie naar negen. Ook iOS had met een toename te maken, van vier naar negen.

Windows is met zeventien zerodays koploper. Het gaat voornamelijk om 'local privilege escalation' kwetsbaarheden, waarmee een aanvaller die al toegang tot een systeem heeft zijn rechten kan verhogen. Deze beveiligingslekken alleen zijn niet voldoende om een systeem op afstand mee over te nemen. Vijf van de Windows-zerodays betroffen 'security bypasses', waarmee beveiligingsmaatregelen zoals SmartScreen en Mark of the Web zijn te omzeilen. De resterende drie zerodays vallen in de categorie 'remote code execution' waarmee een aanvaller wel op afstand code kan uitvoeren.

Google stelt dat het bij 58 van de 97 vorig jaar geregistreerde zerodays een motief kon vaststellen. 24 van deze kwetsbaarheden werden toegeschreven aan spywareleveranciers. Een zelfde aantal werd voor spionage gebruikt en de resterende tien zerodays hadden een financieel motief, zo laat het techbedrijf weten. Als het gaat om zerodays ingezet door landen is China koploper, aldus Google. Andere landen die het techbedrijf noemt zijn Rusland, Noord-Korea en Wit-Rusland.

Afsluitend stelt Google in het rapport dat softwareleveranciers niet achterover moeten leunen, maar zich moeten voorbereiden hoe ze op zerodays in hun producten reageren en niet moeten denken dat hun producten geen doelwit kunnen worden.