エクスプロイトコードとは？えくすぷろいとこーど
エクスプロイトコードは、特定の脆弱性を突いて意図しない動作を引き起こすプログラム。攻撃に使われる一方、脆弱性が実際に悪用可能かを検証するPoC（実証コード）として研究者やベンダによって作成・公開されることもある。存在と公開の有無は、その脆弱性を悪用する難度を大きく下げるため、対応の優先度を決める重要な材料になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
脆弱性が公表されても、それを実際の侵入に仕立てるには対象の内部構造の知識と試行が要る。この手間が、公表から悪用が広がるまでの時間差を生んでいた。ところが動く実証コードが公開されると、その手間は消え、技術力の低い攻撃者でも同じ攻撃を再現できる。つまり脆弱性の危険度は、深刻度の点数だけでなく「悪用の道具が出回っているか」で時間とともに動く。支援士では、修正適用の期限をこの現実に合わせて設計させる出題になる。
具体例
CISAが公開するKEV（Known Exploited Vulnerabilities）カタログは、実際に悪用が確認された脆弱性を列挙したもので、対応の優先順位付けに使われている。社内の適用基準も、深刻度の点数だけで「重大は30日以内」と決めるのではなく、実証コードの公開や悪用の確認をもって期限を短縮する条件を、あらかじめ規程に書いておく形にする。
試験での引っ掛け
PoC（実証コード）と実運用の攻撃コードは目的が違い、PoCは「悪用可能であること」を示すだけで完全な侵害には至らないことが多い。またCVSSの基本評価基準は実証コードの有無を反映せず、それを反映するのは現状評価基準のE（攻撃コード成熟度）であるため、「基本値が変わっていないから緊急度も同じ」という判断は誤りになる。修正プログラムが未提供のまま悪用されているゼロデイとは、修正の有無という点で区別する。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6（IPA）
情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。
正解：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム
要点：エクスプロイトコードは脆弱性を突くプログラム
エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を実際に突いて攻撃や検証を行うために作られたプログラムです。脆弱性の存在を実証する目的で公開されることもありますが、そのまま攻撃に転用されるため危険性が高いものです。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）解説で登場
基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。
正解：CVSS
要点：CVSSは基本・現状・環境の3基準で脆弱性を評価する
CVSSは脆弱性の深刻度を共通の尺度で評価する枠組みで、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回りや対策状況といった時間経過で変わる要素を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。ベンダに依存しない共通指標として脆弱性情報の共有に用いられる。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問4（IPA）
エクスプロイトコードの説明はどれか。
正解：攻撃コードとも呼ばれ,脆弱性を悪用するソフトウェアのコードのことであるが,使い方によっては脆弱性の検証に役立つこともある。
要点：エクスプロイトコードは脆弱性を突く攻撃コードで検証にも使う
エクスプロイトコードとは、特定の脆弱性を突いて意図しない動作（任意コード実行や権限昇格など）を引き起こすためのコードを指し、攻撃コードとも呼ばれる。攻撃に悪用される一方、実際に脆弱性が存在するかを確かめる検証（PoC）や、対策の有効性確認にも用いられる。公開の是非が議論になるのは、この両義性のためである。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）解説で登場
基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。
正解：CVSS
要点：CVSSは基本・現状・環境の三基準で脆弱性を点数化する
CVSSは脆弱性の深刻度を共通の尺度で数値化する評価手法で、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回り具合や対策状況といった時間変化を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (3) 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。