脆弱性とは？
脆弱性とは、システムやソフトウェア、運用体制などに存在する、脅威によって悪用され得る弱点や欠陥のこと。プログラムの設計・実装上の不具合（セキュリティホール）だけでなく、パスワードの管理が甘い、アクセス制御の設定が不適切といった運用面の弱点も脆弱性に含まれる。脅威がこの脆弱性を突くことで初めて実害（インシデント）が発生するため、脆弱性を減らす（パッチ適用や設定の見直しなど）ことがセキュリティ対策の基本となる。
ITパスポートの過去問では43回出題されています（2009年度〜2026年度）。
ぜいじゃくせい
脆弱性の意味
システムやソフトウェア、運用体制などに存在する、脅威によって悪用され得る弱点や欠陥のこと。プログラムの設計・実装上の不具合（セキュリティホール）だけでなく、パスワードの管理が甘い、アクセス制御の設定が不適切といった運用面の弱点も脆弱性に含まれる。脅威がこの脆弱性を突くことで初めて実害（インシデント）が発生するため、脆弱性を減らす（パッチ適用や設定の見直しなど）ことがセキュリティ対策の基本となる。
脆弱性の具体例
あるソフトウェアに未修正のセキュリティホールが見つかった場合、それが脆弱性であり、攻撃者（脅威）がその脆弱性を突いて不正アクセスを試みる可能性がある。
脆弱性は試験でどう引っ掛けられる？
脆弱性は「弱点そのもの」を指し、それを悪用しようとする攻撃者や攻撃手法である「脅威」とは別の概念である点を取り違えないよう注意する。
脆弱性と関連する用語
脆弱性が出た過去問
情報セキュリティポリシに関する記述のうち、適切なものはどれか。
正解：目標とするセキュリティレベルを達成するために、遵守すべき行為及び判断についての考え方を明確にすることが必要である。
要点：セキュリティポリシは組織全体の方針と判断基準を明示する
情報セキュリティポリシは、組織として守るべき情報セキュリティの方針と行動基準を定めた文書である。目指す水準を示し、そこへ至るために何を守り、判断に迷ったときにどう考えるかを明確にすることが目的となる。個別システムごとではなく組織全体を対象とし、脆弱性の内容は公表せずに管理すべき情報である。
出典：平成21年度 秋期 ITパスポート試験 問56（IPA）フィッシングの説明として，最も適切なものはどれか。
正解：偽の電子メールを送信するなどして，受信者を架空のWebサイトや実在しているWebサイトの偽サイトに誘導し，情報を不正に取得する。
要点：フィッシングは偽サイトへ誘導して本人に情報を入力させる
フィッシングは、金融機関などを装った偽のメールやメッセージで利用者を偽サイトへ誘導し、そこでIDやパスワード、クレジットカード番号などを入力させて盗み取る手口である。本物そっくりの画面を用意して利用者自身に入力させる点が特徴で、システムの脆弱性を突く攻撃や常駐プログラムによる情報窃取とは手口が異なる。
出典：平成23年度 秋期 ITパスポート試験 問87（IPA）クロスサイトスクリプティングの特徴に関する記述として、適切なものはどれか。
正解：Webサイトに入力されたデータに含まれる悪意あるスクリプトを、そのままWebブラウザに送ってしまうという脆弱性を利用する。
要点：XSSは入力をそのまま出力する脆弱性を突く。対策は出力時のエスケープ
クロスサイトスクリプティングは、利用者の入力をそのままWebページに埋め込んで出力してしまう脆弱性を突く攻撃である。攻撃者が仕込んだスクリプトが閲覧者のブラウザで実行され、クッキーの窃取や偽の入力画面の表示などの被害を招く。対策は出力時のエスケープ処理である。
出典：平成24年度 秋期 ITパスポート試験 問60（IPA）クロスサイトスクリプティングとは、Webサイトの脆弱性を利用した攻撃である。クロスサイトスクリプティングに関する記述として、適切なものはどれか。
正解：Webページに、ユーザの入力データをそのまま表示するフォーム又は処理があるとき、第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。
要点：入力をそのまま出力する隙にスクリプトを埋め込むのがXSS
クロスサイトスクリプティングは、入力された文字列をそのまま画面に出力してしまうWebページの脆弱性を突き、攻撃者が用意したスクリプトを閲覧者のブラウザ上で実行させる攻撃である。これによりクッキーに保存されたセッション情報などが盗まれる。対策は出力時のエスケープ処理である。
出典：平成24年度 春期 ITパスポート試験 問77（IPA）ゼロデイ攻撃の説明として、適切なものはどれか。
正解：ソフトウェアに脆弱性が存在することが判明したとき、そのソフトウェアの修正プログラムがベンダから提供される前に、判明した脆弱性を利用して行われる攻撃
要点：ゼロデイ攻撃は修正プログラム提供前の空白期間を狙う
ゼロデイ攻撃は、脆弱性が明らかになってから修正プログラムが提供されるまでの、対策のない期間を狙って行われる攻撃である。利用者側に打つ手が乏しいため被害が広がりやすく、緩和策としては影響範囲の限定や監視の強化などが取られる。
出典：平成25年度 秋期 ITパスポート試験 問74（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。