もう少し詳しく
エクスプロイトとは、ソフトウェアやOSに存在する脆弱性(セキュリティ上の弱点)を実際に突いて、開発者が意図していない動作(不正なプログラムの実行、権限のないデータへのアクセスなど)を引き起こすために作られたプログラムやコードのことです。脆弱性が「発見された」だけの段階と、実際に悪用できるエクスプロイトが「完成した」段階は別物であり、後者が公開・流通すると、専門的な知識がなくても悪用できてしまう場合があります。
セキュリティの世界では、脆弱性を見つける「研究」と、それを実際に攻撃可能な形に仕上げる「エクスプロイト開発」は、しばしば別の専門性として扱われます。ニュース記事で「攻撃コード(エクスプロイト)が公開されている」といった表現が使われる場合、その脆弱性がすでに実際に悪用される可能性が高い、危険度の高い段階にあることを意味します。
どこで使われるか
エクスプロイトという言葉は、セキュリティ企業やソフトウェア開発者による脆弱性情報の公表、JPCERT/CCなどの注意喚起、ニュース記事などで日常的に使われます。攻撃者が実際の攻撃に使う場合だけでなく、セキュリティ研究者が脆弱性の深刻さを実証するために、被害の出ない範囲でエクスプロイトを作成・検証する場合もあります。
身近な例
「この脆弱性を悪用するエクスプロイトが、すでにインターネット上で公開されている」といった報道は、その脆弱性を修正するソフトウェア更新を、できるだけ早く適用すべき理由として説明されることが多くあります。逆に「エクスプロイトはまだ確認されていない」という場合は、危険性はあるものの、実際の悪用にはまだ至っていない段階であることを示しています。
注意点
一般の利用者がエクスプロイトそのものを扱う場面はほとんどありませんが、「エクスプロイトが公開済み」という報道を見た場合は、該当するソフトウェアの更新をできるだけ早く適用することが、被害を避けるための実用的な対応になります。エクスプロイトの作成・使用は、正当な許可のない対象に対して行えば、多くの国・地域で法律上の問題になる行為である点にも注意が必要です。
