権限昇格とは？けんげんしょうかく
権限昇格とは、攻撃者が、本来その主体へ与えられていない上位の操作権を不正に手に入れること。管理者相当へ上がる場合を垂直、同じ立場の別の利用者が持つ資源へ横から届いてしまう場合を水平と呼び分ける。侵入の入口はたいてい低い権限であり、そこから先へ進めるかどうかが被害の規模を分ける。
最終更新：2026-10-06
この語が出る過去問を解く →背景
侵入者が最初に手にするのは、たいてい一般利用者の権限にすぎない。そこから認証情報の取得や他ホストへの移動へ進むには、より高い権限が要る。攻撃の流れを段階で捉えると、ここが防御側にとって最後の分岐点になる。最小権限の原則と、管理者権限の使用を記録して見張る仕組みが効くのはこの理由による。
具体例
MITRE ATT&CKは権限昇格を独立の戦術として整理し、サービスの実行ファイル置換や設定不備の悪用といった手口を並べている。水平方向では、画面のURLに含まれる利用者IDを書き換えて他人の明細を開けてしまうWebアプリの実装漏れが典型で、支援士の記述問題でも扱われる。
試験での引っ掛け
水平方向は「認証は通っているのだから正常な利用」と見誤られやすい。認証と認可は別で、認証済みの利用者に対しても、操作対象ごとに所有者が一致するかを毎回確かめないと防げない。垂直方向だけを権限昇格と呼ぶ、という思い込みも設問で突かれる。
関連用語
出た過去問
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問5（IPA）解説で登場
情報セキュリティにおけるエクスプロイトコードの説明はどれか。
正解：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム
要点：エクスプロイトコードは脆弱性を突く実証・攻撃プログラム
エクスプロイトコードとは、ソフトウェアやハードウェアに存在する脆弱性を突いて、想定外の動作（任意コード実行や権限昇格など）を引き起こすために作成されたプログラムを指す。攻撃に悪用される一方、検証用コード（PoC）として脆弱性の存在確認やパッチの有効性検証にも用いられる。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問4（IPA）解説で登場
エクスプロイトコードの説明はどれか。
正解：攻撃コードとも呼ばれ,脆弱性を悪用するソフトウェアのコードのことであるが,使い方によっては脆弱性の検証に役立つこともある。
要点：エクスプロイトコードは脆弱性を突く攻撃コードで検証にも使う
エクスプロイトコードとは、特定の脆弱性を突いて意図しない動作（任意コード実行や権限昇格など）を引き起こすためのコードを指し、攻撃コードとも呼ばれる。攻撃に悪用される一方、実際に脆弱性が存在するかを確かめる検証（PoC）や、対策の有効性確認にも用いられる。公開の是非が議論になるのは、この両義性のためである。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (3) 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。