パッチとは？ぱっち
パッチとは、見つかった脆弱性や不具合を修正するために配布されるプログラム。適用して初めて既知の脆弱性を突く攻撃を塞げるため、公開から適用までの期間がそのまま攻撃を受けうる窓になる。何にどの版が入っているかを把握するため、SBOMやソフトウェア構成分析（SCA）と組み合わせて管理する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
出荷後に脆弱性が見つかることは避けられないが、製品を作り直して配り直すのは現実的でない。そこで差分だけを配って直す仕組みが定着した。ただし公開された修正内容から攻撃者が弱点を逆算できるため、公開そのものが攻撃開始の合図にもなる。この時間差をどう縮め、縮められない機器をどう守るかが脆弱性管理の中心論点になる。
具体例
Microsoftは毎月第2火曜（日本時間では水曜）に更新をまとめて公開しており、運用側はこの周期に合わせて検証環境で業務影響を確かめ、切り戻し手順を用意したうえで本番へ展開する段取りを組む。
試験での引っ掛け
対象は既に知られた脆弱性なので、修正が存在しないゼロデイ攻撃は防げない。機能を増やすバージョンアップとも目的が違う。また「即時適用が常に正解」でもなく、適用自体が業務停止を招くことがあるため、検証と切り戻し、そして止められない機器に対する代替策（ネットワーク分離・仮想パッチ）まで含めて答える必要がある。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問5（IPA）解説で登場
情報セキュリティにおけるエクスプロイトコードの説明はどれか。
正解：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム
要点：エクスプロイトコードは脆弱性を突く実証・攻撃プログラム
エクスプロイトコードとは、ソフトウェアやハードウェアに存在する脆弱性を突いて、想定外の動作（任意コード実行や権限昇格など）を引き起こすために作成されたプログラムを指す。攻撃に悪用される一方、検証用コード（PoC）として脆弱性の存在確認やパッチの有効性検証にも用いられる。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8（IPA）
NISTの定義によるクラウドコンピューティングのサービスモデルにおいて，パブリッククラウドサービスの利用企業のシステム管理者が，仮想サーバのゲストOSに対するセ…
正解：IaaS：実施可／PaaS：実施不可／SaaS：実施不可
要点：ゲストOSのパッチ管理はIaaSだけ利用者の責任
IaaSでは利用企業が仮想サーバのOSより上を管理するため、ゲストOSへのパッチ適用は利用者の責任範囲です。PaaSはミドルウェアより下を事業者が管理し、SaaSはアプリケーションまで事業者が管理するため、いずれも利用者はゲストOSに手を入れられません。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。