- RCEリモートコード実行（Remote Code Execution）
- ネットワーク越しに、攻撃者が相手の機器の上で任意のプログラムを動かせてしまうこと。脆弱性の中でも影響が大きい種類。
このページの内容
意味
RCE は、攻撃者が離れた場所から、対象の機器で好きな命令を実行できてしまう状態を指します。原因はさまざまで、CWE ではコードの注入（CWE-94）などの種類として整理されています。認証なしで RCE ができる脆弱性は、CVSS の値が高くなりやすく、KEV に載る例も多くあります。
| 点 | 読み方 |
|---|---|
| 認証の要否 | 「認証なしで」とあれば、入口として使われやすい |
| 対象の機器 | インターネットに公開されている機器か |
| 悪用の状況 | KEV への掲載・開発元の公表で確かめる |
事件のときの見方
- インターネットに公開された機器（VPN 機器・Web サーバーなど）の RCE は、委託先への照会を前に出す目安になる
- 修正版を当てる前に悪用されていた可能性があれば、痕跡の確認も合わせて聞く
{{製品名}}にリモートからコードを実行できるの脆弱性（CVE-{{年}}-{{番号}}）が公表されました。御社が当社向けに提供しているサービスでの使用の有無、使用している場合はバージョンと修正版の適用の予定をお知らせください。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- MITRE「CWE-94: Improper Control of Generation of Code」
- 米国 CISA「Known Exploited Vulnerabilities Catalog」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。