リモートコード実行（RCE: Remote Code Execution）とは、攻撃者がネットワーク越しに、標的のサーバーや端末の上で自分の用意したプログラムやコマンドを実行できてしまう脆弱性、またはそれを使った攻撃のことです。製品やサービスの名前ではなく、セキュリティ上の欠陥の分類を表す言葉です。そのため「料金」も「提供企業」もありません。
リモートコード実行とは：なぜ最も危険な部類なのか
コードを実行できるようになると、攻撃者はそのマシンの権限の範囲でほぼ何でもできます。データの読み出しや改ざん、マルウェアの設置、そこを足がかりにした社内ネットワークへの侵入まで可能です。情報漏えいやサービス停止のような単一の被害で終わらず、「乗っ取り」につながる点が他の脆弱性との違いです。ログインせずに外部から突けるタイプは、特に深刻に扱われます。
RCEが生じる典型的な原因は次のとおりです。
- 利用者の入力がOSコマンドやスクリプトとしてそのまま解釈される（コマンドインジェクション） - アップロードされたファイルが、サーバー上で実行できる状態で置かれる - 外部から受け取ったデータを復元する処理（デシリアライズ）に欠陥がある - メモリ破壊系のバグで、処理の流れを書き換えられる
「使い方」とは：正規の用途は診断と検証
SSHのような正規の「リモート実行」機能とRCEは別物です。RCEは本来許されていない実行が起きてしまう欠陥を指します。
エンジニアがRCEを「使う」正当な場面は、許可を得た範囲で行う脆弱性診断やペネトレーションテスト、自社製品の検証に限られます。他人のシステムで無断で試すと、日本では不正アクセス禁止法などに触れるおそれがあります。開発者にとっての実務は、入力値をコマンドに直接渡さない、アップロードファイルを実行できない場所に置く、依存ライブラリを最新に保つ、の3点が基本です。
最近の事例
The Registerによると、米サイバーセキュリティ・インフラ安全保障庁（CISA）は「PHP2Shell」と呼ばれる脆弱性が実際の攻撃に悪用されていることを確認しました。研究者も攻撃が成功した事例を観測しています。ただし、影響を受ける製品やバージョン、対策の詳細は当サイトでは確認できていません。
関連する動きとして、AIを使った攻撃手法の開発があります。セキュリティ企業Hacktron AIの研究者は、2026年7月にOpenAIの開発者フォーラム（Discourse製）の画像処理経路にあった脆弱性を、AnthropicのClaude Opus 4.8とOpus 5を使ってエクスプロイト化したと報告しました。従業員のChatGPT／Codexアカウントを乗っ取ったとしています。この件をRCEに分類できるかは、当サイトの材料からは判断できません。ただ、脆弱性を実際の攻撃手段に変える作業をAIが担い始めている事例として注目に値します。
料金・コストの考え方と、企業が取るべき対策
RCEそのものに料金はありません。企業の企画・DX担当者が考えるべきなのは、対策にかかる費用と、突かれたときの被害額です。外部に公開しているWebサイトや業務システムは、RCEの主な標的になります。
対策の優先順位は次のとおりです。
1. 公開システムとその構成部品（OS、ミドルウェア、ライブラリ）を棚卸しする 2. 悪用が確認された脆弱性から先にパッチを当てる。CISAは悪用確認済みの脆弱性を公表しており、優先順位付けの参考になる 3. 定期的な脆弱性診断と、侵入を前提にした検知体制を用意する
投資家の視点では、RCEは「誰かが作る製品」ではなく、脆弱性診断、パッチ管理、侵入検知といったセキュリティ市場全体の需要を生む要因です。Hacktron AIの事例が示すように、AIを使って脆弱性を見つける・検証する領域は新しい競争の場になりつつあります。これは当サイトの見立てです。
