Webアプリケーションの脆弱性（基礎の分類）とは？うぇぶあぷりけーしょんのぜいじゃくせい
Webアプリケーションの脆弱性とは、入力の扱いや権限確認の不備を突かれるWeb特有の欠陥の総称である。代表がSQLインジェクション（入力欄からSQL文を混入させデータベースを操作される）とクロスサイトスクリプティング（スクリプトを埋め込み他の利用者のブラウザで実行させる）で、ほかにCSRFやクリックジャッキングがある。
最終更新：2026-10-06
ITサービスマネージャを最短で暗記・合格する →背景
Webアプリケーションは、外から来た文字列をそのままSQLやHTMLの一部として組み立てる場面が多い。データと命令が同じ文字列の中で混ざる以上、境界を明示しない限り、データのつもりで受けたものが命令として解釈される——インジェクション系の脆弱性はすべてこの構造から生まれる。運用にとっては、原因がコードの作りにある以上、恒久対策には開発側のリリースが要り、それまでを暫定策で凌ぐ判断が必要になるという話になる。
具体例
OWASP が公開する Top 10 は、この分類の実質的な共通言語になっている。脆弱性の届出を受けた運用側は、恒久対策（プレースホルダによるSQL組立て、出力時のエスケープ）が開発から出るまでの期間を、WAFのシグネチャ追加と該当機能の一時停止で埋め、暫定と恒久を分けてインシデント記録と問題管理へ残す。
試験での引っ掛け
被害の当たる先を入れ替える出題が定番である。SQLインジェクションはサーバ側のデータベースが狙われるが、XSSで害を受けるのは閲覧した利用者のブラウザである。対策も別で、SQLインジェクションはプレースホルダ、XSSは出力時のエスケープが根本対策——入力値の検査やWAFは補助であって、根本対策の代わりにはならない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。