リモートコード実行（RCE）とは？

もう少し詳しく

「リモートコード実行（Remote Code Execution、略してRCE）」とは、攻撃者が対象のコンピューターやサーバーに物理的に触れることなく、インターネットなどのネットワーク越しに、任意のプログラム（コード）を実行できてしまう脆弱性ぜいじゃくせいや攻撃手法のことです。数ある脆弱性の中でも、攻撃者にサーバーを自由に操作されるリスクに直結するため、特に深刻な部類に分類されます。

どこで使われるか

Webサービスのファイルアップロード機能や、外部から送られてきたデータを処理する機能など、外部からの入力を受け取って処理する仕組みに脆弱性が見つかった場合、その脆弱性がRCEにつながるかどうかが、深刻度を判断する重要なポイントになります。脆弱性情報を伝えるニュースで「リモートコード実行につながる脆弱性」と説明されている場合、単なる情報漏えいにとどまらず、サーバーを乗っ取られる可能性がある深刻な問題として扱われていることを意味します。

身近な例

Webアプリケーションの開発土台となるソフトウェア（フレームワーク）や、ファイルを開くためのソフトウェアに、細工されたファイルを読み込ませることでRCEにつながる脆弱性が見つかることがあります。こうした脆弱性が公表されると、ソフトウェアの開発元は修正版を配布し、利用者や運営者に速やかな更新を呼びかけます。

注意点

RCEにつながる脆弱性は、修正版が公開された後も、更新が済んでいない環境が攻撃の対象になり続けます。特に、攻撃に使えるコード（エクスプロイト）がすでに公開されている場合は、悪用される可能性が急速に高まるため、Webサービスを運営する事業者は、脆弱性情報が公表されたら速やかに修正版を適用することが重要です。