OSコマンドインジェクションとは

Webアプリの脆弱性

公開：2026年6月27日｜最終更新：2026年6月27日

定義

利用者の入力が、サーバ上でOSコマンドの一部として実行されてしまう脆弱性です。区切り文字（; | & など）を混ぜることで追加のコマンドを実行させられます。

サーバ上で任意のコマンドを実行され、ファイルの窃取・改ざん・他サーバへの攻撃の踏み台化など、事実上の乗っ取りに至ります。

外部コマンドを呼ばず標準APIで処理する、やむを得ない場合は引数を配列で渡しシェルを介さない実装になっているかを確認します。

サイトドックは、月次の定期診断で弱点を継続的に見つけ、エッジで治せるものは速やかに修復する統合型セキュリティサービスです。実施した対策は毎月のレポート（PDF）でお届けします。