פגיעות יום-אפס היא חולשת אבטחה בתוכנה או בחומרה שאינה מוכרת ליצרן, ולכן אין עבורה טלאי (Patch) או חתימת זיהוי. השם נגזר מכך שלמגינים היו "אפס ימים" להיערך. Exploit יום-אפס — קוד המנצל את הפגיעות — הוא נכס יקר: הוא נסחר בשווקים אפורים ושחורים ומשמש בעיקר קבוצות APT ומדינות במבצעים ממוקדים, שם חשיפתו המוקדמת תשרוף את היכולת. ברגע שהפגיעות מתגלה ומקבלת מזהה CVE, מתחיל מרוץ בין פרסום הטלאי והטמעתו לבין ניצול המוני שלה (מצב המכונה אז N-Day). דוגמה מוכרת היא Stuxnet, שניצלה כמה פגיעויות יום-אפס במקביל. עבור מגינים ההנחה צריכה להיות שיום-אפס תמיד אפשרי, ולכן נדרשות שכבות הגנה שאינן תלויות בחתימות: סגמנטציה, ניטור התנהגותי, הקשחה וצמצום שטח תקיפה.