エクスプロイトコードとは？えくすぷろいとこーど
エクスプロイトコードとは、特定の脆弱性を突いて意図しない動作を引き起こすプログラム。攻撃に使われる一方、脆弱性が実際に悪用可能かを検証する目的でも作成・公開される。
最終更新：2026-10-07
この語が出る過去問を解く →具体例
CVSS 9.8の脆弱性が公表された数日後、実証コードが公開リポジトリへ掲載された。実証コードの存在は悪用の急増を意味するため、社内の適用期限を「重大は30日以内」から「実証コード公開後72時間以内」へ引き上げる基準を定めた。
試験での引っ掛け
PoC（実証コード）と実運用の攻撃コードは目的が違い、PoCは「悪用可能であること」を示すだけで完全な侵害には至らないことが多い。またCVSSの基本評価基準は実証コードの有無を反映しない（反映するのは現状評価基準のE：攻撃コード成熟度）ため、「基本値が変わっていないから緊急度も同じ」という判断は誤り。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和6年度 秋期 高度試験 午前Ⅰ 問16（IPA）
エクスプロイトコードの説明はどれか。
正解：攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。
要点：エクスプロイトコードは脆弱性を突く攻撃コードで検証にも使う
エクスプロイトコードは、ソフトウェアの脆弱性を突いて意図しない動作をさせるために作られたコードで、攻撃コードとも呼ばれる。攻撃に悪用される一方、脆弱性が実際に悪用可能かを確かめる検証（PoC）にも使われるという両面をもつ。
出典：令和7年度 秋期 高度試験 午前Ⅰ 問12（IPA）解説で登場
サイバー攻撃の攻撃段階をモデル化したサイバーキルチェーンにおいて、“エクスプロイト”に該当する行為はどれか。
正解：標的とする組織のPCでOSの脆弱性を悪用し、攻撃ツールを実行させる。
要点：エクスプロイトは脆弱性を突いて攻撃コードが動く段階
サイバーキルチェーンは偵察・武器化・配送・エクスプロイト・インストール・遠隔操作・目的実行の段階に分けられる。エクスプロイトは、届けた不正なコードが標的環境の脆弱性を突いて実際に実行される段階を指す。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (3) 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。