パッチとは？ぱっち
パッチとは、ソフトウェアに見つかった脆弱性や不具合を修正するために配布されるプログラムで、脆弱性を直すものはセキュリティパッチと呼ばれる。適用すれば既知の脆弱性を突く攻撃を防げるため、脆弱性管理の中心的な手段になる。ただし業務システムでは適用による不具合も起こりうるので、組織としてパッチ適用基準を定め、影響を確かめてから計画的に当てる運用が求められる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
ソフトウェアの欠陥を出荷後にゼロにすることはできず、公表された脆弱性は攻撃側にも同時に知られる。修正を利用者へ届ける手段が無ければ、既知の穴が開いたまま使い続けるしかない。差分だけを配って直せる仕組みを用意することで、製品を作り直さずに安全を保てるようにしたのがパッチである。読者の立場では、いつまでに当てるかを決め、部門の端末で実際に適用されたかを確かめるところまでが役割になる。
具体例
Microsoftは毎月定例で更新プログラムを公開しており、多くの企業はこれに合わせて検証環境で確認してから業務端末へ配布する。利用部門側は、資産管理台帳の端末すべてに適用が済んだかを一覧で確認し、長期不在者の端末など適用漏れが残っていないかを追う。
試験での引っ掛け
パッチが直せるのは既に知られた脆弱性なので、修正が出る前に悪用されるゼロデイ攻撃は防げない。機能を追加するバージョンアップとも目的が違う。また「すぐ全台に当てる」が常に正解とは限らず、業務停止の影響が大きいシステムでは事前検証とバックアップの手当てが問われる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問24（IPA）解説で登場
スクリプトキディの典型的な行為に該当するものはどれか。
正解：技術不足なので新しい攻撃手法を考え出すことはできないが、公開された方法に従って不正アクセスを行う。
要点：スクリプトキディは公開ツールをなぞって攻撃する者
スクリプトキディとは、自ら攻撃手法を編み出す技術力はないものの、インターネット上で公開されている攻撃ツールや手順書をそのまま使って不正アクセスを試みる者を指す。技術力が低くても既製のツールで実害を出せてしまうのが問題で、既知の脆弱性の修正パッチを適用しておくだけでも大半は防げる。人をだます手口であるソーシャルエンジニアリングとは区別する。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問13（IPA）
ゼロデイ攻撃の特徴はどれか。
正解：脆弱性に対してセキュリティパッチが提供される前に当該脆弱性を悪用して攻撃する。
要点：ゼロデイ攻撃はパッチ提供前の空白期間を突く攻撃
ゼロデイ攻撃とは、脆弱性が判明してから修正プログラムが提供されるまでの無防備な期間を突く攻撃である。パッチが存在しないため、パッチ適用による根本対策が取れず、多層防御や振る舞い検知、緩和策の適用といった対応が必要になる。攻撃の手口ではなく「対策が間に合っていない時点で突く」というタイミングが本質である。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問15（IPA）解説で登場
マルウェアWanna Cryptor（WannaCry）に関する記述として，適切なものはどれか。
正解：SMBv1の脆弱性を悪用するなどして感染し，PC内のデータを暗号化してデータの復号のための金銭を要求したり，他のPCに感染を拡大したりする。
要点：WannaCryはSMBv1の脆弱性で拡散するランサムウェア
WannaCryはランサムウェアの一種で、端末内のファイルを暗号化して復号と引換えに金銭を要求する。特徴的なのは、Windowsのファイル共有プロトコルSMBv1の脆弱性を突いてネットワーク内の他端末へ自動的に感染を広げるワーム的な性質をもつ点である。このため、パッチ適用と不要なSMBv1の無効化が有効な対策となった。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問17（IPA）
A社では，利用しているソフトウェア製品の脆弱性に対して，ベンダから提供された最新のセキュリティパッチを適用することを決定した。ソフトウェア製品がインストールされ…
正解：ソフトウェア製品の名称やバージョン，それらが導入されている機器の所在，IPアドレスを管理するIT資産管理システム
要点：パッチ管理の前提は資産と導入バージョンの正確な把握
パッチの適用漏れを防ぐには、まず「どの機器にどの製品のどのバージョンが入っているか」を正確に把握できていることが前提となる。IT資産管理システムで導入製品とバージョン、機器の所在やIPアドレスを一元管理すれば、対象機器を漏れなく洗い出し、適用状況を追跡できる。
出典・参考
公式シラバスの1 技術要素 ＞ 4 情報セキュリティ対策 ＞ 技術的セキュリティ対策に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。