エクスプロイトコードとは？
エクスプロイトコードとは、特定の脆弱性を突いて意図しない動作を引き起こすプログラム。攻撃に使われる一方、脆弱性が実際に悪用可能かを検証する目的でも作成・公開される。
高度試験・午前I（全区分共通）の過去問では2回出題されています（2024年度〜2025年度）。
えくすぷろいとこーど
エクスプロイトコードの意味
特定の脆弱性を突いて意図しない動作を引き起こすプログラム。攻撃に使われる一方、脆弱性が実際に悪用可能かを検証する目的でも作成・公開される。
エクスプロイトコードの具体例
CVSS 9.8の脆弱性が公表された数日後、実証コードが公開リポジトリへ掲載された。実証コードの存在は悪用の急増を意味するため、社内の適用期限を「重大は30日以内」から「実証コード公開後72時間以内」へ引き上げる基準を定めた。
エクスプロイトコードは試験でどう引っ掛けられる？
PoC（実証コード）と実運用の攻撃コードは目的が違い、PoCは「悪用可能であること」を示すだけで完全な侵害には至らないことが多い。またCVSSの基本評価基準は実証コードの有無を反映しない（反映するのは現状評価基準のE：攻撃コード成熟度）ため、「基本値が変わっていないから緊急度も同じ」という判断は誤り。
エクスプロイトコードと関連する用語
エクスプロイトコードが出た過去問
エクスプロイトコードの説明はどれか。
正解：攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。
要点：エクスプロイトコードは脆弱性を突く攻撃コードで検証にも使う
エクスプロイトコードは、ソフトウェアの脆弱性を突いて意図しない動作をさせるために作られたコードで、攻撃コードとも呼ばれる。攻撃に悪用される一方、脆弱性が実際に悪用可能かを確かめる検証（PoC）にも使われるという両面をもつ。
出典：令和6年度 秋期 高度共通_午前I試験 am1 問16（IPA）サイバー攻撃の攻撃段階をモデル化したサイバーキルチェーンにおいて、“エクスプロイト”に該当する行為はどれか。
正解：標的とする組織のPCでOSの脆弱性を悪用し、攻撃ツールを実行させる。
要点：エクスプロイトは脆弱性を突いて攻撃コードが動く段階
サイバーキルチェーンは偵察・武器化・配送・エクスプロイト・インストール・遠隔操作・目的実行の段階に分けられる。エクスプロイトは、届けた不正なコードが標的環境の脆弱性を突いて実際に実行される段階を指す。
出典：令和7年度 秋期 高度共通_午前I試験 am1 問12（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。