エクスプロイトコードとは？えくすぷろいとこーど
エクスプロイトコードとは、特定の脆弱性を突いて、本来できないはずの動作を実際に引き起こすプログラム。攻撃に使われる一方で、指摘された脆弱性が机上の話にとどまらず本当に悪用できることを示す検証（実証コード、PoC）としても作成・公開される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
脆弱性は公表されただけでは、その組織にとってどれほど急ぐべきかを判断できない。悪用の実例が出回ると、攻撃の敷居が「自力で手口を編み出せる者」から「コードを実行できる者」まで一気に下がるため、修正の優先順位を決める材料としてその有無が使われるようになった。パッチ適用の期限を定める基準は、この考え方を運用に落としたものである。
具体例
CVSSの現状評価基準には攻撃コード成熟度（E）という項目があり、実証コードが公開されたか、実際の悪用が確認されたかで値が変わる。米国CISAが公開する「悪用が確認された脆弱性カタログ（KEV）」も同じ発想で、掲載された脆弱性には期限付きの対処を求めている。
試験での引っ掛け
実証コードと実運用の攻撃コードは目的が違い、前者は「悪用が可能である」ことを示すだけで完全な侵害には至らないことが多い。またCVSSの基本評価基準は実証コードの有無を反映しない（反映するのは現状評価基準のE）ため、「基本値が変わっていないから緊急度も変わらない」という判断は誤りになる。
関連用語
出た過去問
出典：令和2年度 10月試験 データベーススペシャリスト試験 午前Ⅱ 問19（IPA）
エクスプロイトコードの説明はどれか。
正解：攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。
要点：エクスプロイトコードは脆弱性を突く攻撃・実証コード
エクスプロイトコードは、ソフトウェアの脆弱性を突いて意図しない動作を起こさせる実証用・攻撃用のコードである。攻撃に使われる一方で、脆弱性が本当に悪用可能かを検証したり対策の効果を確かめたりする目的にも用いられる。よってアが正しい。
出典：令和5年度 秋期 データベーススペシャリスト試験 午前Ⅱ 問21（IPA）
情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。
正解：ソフトウェアやハードウェアの脆弱性を検査又は攻撃するために作成されたプログラム
要点：エクスプロイトコードは脆弱性を突く検査・攻撃用プログラム
エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を突いて意図しない動作を起こさせるために作られたプログラムである。攻撃に使われる一方で、脆弱性が実際に悪用可能かを検査する目的でも用いられる。よってエが該当する。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (3) 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。