読み方：アールシーイー

RCE【リモートコード実行】Remote Code Execution

概要

RCEとは、ソフトウェアのセキュリティ脆弱性の一種で、攻撃者が通信ネットワーク越しに標的のシステムへ任意のプログラムコードを送り込み実行させることができる状態のこと。また、この欠陥を悪用した攻撃行為そのものを指すこともある。

外部からの接続や入力を受け付けるソフトウェアに生じやすく、攻撃者は細工したデータを送り込むことで、本来は実行が許可されていないコードをシステム内部で動作させる。

攻撃が成功すると、攻撃者はシステム管理者と同等の権限を得ることがある。保管データの窃取や改竄、破壊のほか、遠隔から継続的に操作するためのバックドアの設置や、他システムへの攻撃の踏み台化といった被害が生じうる。

代表的な脆弱性および攻撃手法として、バッファオーバーフロー、安全でないデシリアライゼーション、OSコマンドインジェクション、ファイルの不正アップロード、サーバサイドテンプレートインジェクション（SSTI：Server-Side Template Injection）などが知られている。

RCEには、認証を必要とせず成立するものと、正規の認証後に悪用されるものとがある。前者はインターネット上から直接攻撃できるため深刻度が高く、脆弱性評価指標の「CVSS」（共通脆弱性評価システム）でも最高水準のスコアが付与されることが多い。近年、Webサーバやクラウド関連製品、仮想化基盤などでRCEにつながる脆弱性が発見され、大規模な被害が報告されている。

発見された場合は、開発元が提供する修正プログラム（パッチ）を速やかに適用することが基本となる。パッチが未提供のゼロデイ状態では根本的な対策は難しく、当該ソフトウェアの一時停止やアクセス制限、WAF（Webアプリケーションファイアウォール）による不審な通信の遮断といった暫定策によってパッチ発行を待つことが多い。

(2026.6.25更新)