エクスプロイトコードとは？えくすぷろいとこーど
エクスプロイトコードとは、特定の脆弱性を突いて、本来できない動作（任意コード実行や権限昇格）を実際に起こすプログラム。攻撃に使われる一方、悪用可能性を確かめるPoC（概念実証）として公開され、対策の優先順位を決める材料にもなる。存在が確認された時点で悪用までの時間が一気に縮む。
最終更新：2026-10-06
この語が出る過去問を解く →背景
脆弱性は公表されても実際に悪用できるかは別問題で、理論上の指摘にとどまるものも多い。ところが実証コードが世に出た瞬間、攻撃に高度な技術が要らなくなり、攻撃者の裾野が一気に広がる。だからパッチ適用の緊急度は、深刻度の数値だけでなく「悪用の現実味」で決まる——この判断軸を持てるかが実務でも試験でも問われる。
具体例
社内の適用基準を「深刻度が重大なら30日以内」に加えて「実証コードが公開されたら72時間以内」と二本立てにする運用がある。IPAとJPCERT/CCが公開するJVNの注意喚起も、悪用の観測有無を明記して緊急度を伝えている。
試験での引っ掛け
CVSSの基本評価基準は脆弱性そのものの性質だけを表し、実証コードの有無は反映しない（反映するのは現状評価基準の攻撃コード成熟度E）。「基本値が変わらないから緊急度も同じ」は誤り。PoCは悪用可能性を示すもので、そのまま完全な侵害に至るとは限らない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 春期 応用情報技術者試験 午前 問40（IPA）
水飲み場型攻撃（Watering Hole Attack）の手口はどれか。
正解：標的組織の従業員が頻繁にアクセスするWebサイトに攻撃コードを埋め込み，標的組織の従業員がアクセスしたときだけ攻撃が行われるようにする。
要点：水飲み場型攻撃は標的が常用するサイトを改ざんして待ち伏せる
水飲み場型攻撃は、標的の組織の社員がよく閲覧するWebサイトをあらかじめ改ざんして攻撃コードを仕込み、そこへ来た訪問者のうち標的組織からのアクセスに限って攻撃を発動させる手口である。動物が水飲み場で待ち伏せされる様子になぞらえた名称である。
出典：令和元年度 秋期 応用情報技術者試験 午前 問42（IPA）解説で登場
エクスプロイトキットの説明はどれか。
正解：OSやアプリケーションソフトウェアの脆弱性を悪用して攻撃するツール
要点：エクスプロイトキットは脆弱性攻撃コードを詰め合わせた攻撃ツール
エクスプロイトキットは、OSやアプリケーションの既知の脆弱性を突く攻撃コード（エクスプロイト）を複数まとめ、標的の環境に応じて自動的に選んで攻撃できるようにしたツール群です。専門知識がなくても攻撃を実行できてしまうため、改ざんサイト経由のドライブバイダウンロードなどで悪用されます。
出典：平成31年度 春期 応用情報技術者試験 午前 問36（IPA）
情報セキュリティにおけるエクスプロイトコードの説明はどれか。
正解：ソフトウェアやハードウェアの脆弱性を検査するために作成されたプログラム
要点：エクスプロイトコードは脆弱性を実証・検査するためのプログラム
エクスプロイトコードは、ソフトウェアやハードウェアに存在する脆弱性を実際に突いて動作させる検証用のプログラムを指す。本来は脆弱性の存在確認や検査のために作られるが、そのまま攻撃コードとして悪用されることもあるため、取扱いには注意が必要である。
出典：令和6年度 秋期 応用情報技術者試験 午前 問46（IPA）
エクスプロイトコードの説明はどれか。
正解：攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。
要点：エクスプロイトコードは脆弱性を突く攻撃コードで検証にも使う
エクスプロイトコードは、ソフトウェアの脆弱性を実際に突いて不正な動作を起こさせるプログラムやデータで、攻撃コードとも呼ばれる。攻撃に使われる一方、脆弱性が本当に悪用可能かを検証する目的（PoC）でも作成・公開される点が特徴である。
出典：令和7年度 秋期 応用情報技術者試験 午前 問36（IPA）解説で登場
サイバー攻撃の攻撃段階をモデル化したサイバーキルチェーンにおいて、“エクスプロイト”に該当する行為はどれか。
正解：標的とする組織のPCでOSの脆弱性を悪用し、攻撃ツールを実行させる。
要点：エクスプロイトは脆弱性を突いて攻撃コードを実行させる段階
サイバーキルチェーンは偵察・武器化・配送・エクスプロイト・インストール・遠隔操作・目的の実行という段階で攻撃を捉えるモデルである。エクスプロイトは、配送した攻撃コードが標的の脆弱性を突いて実際に実行される段階を指す。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (3) 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。