--- title: "RCE (remote code execution): wat het is en waarom ernstig" description: "RCE (remote code execution) is een lek waardoor een aanvaller via het netwerk eigen code laat uitvoeren op een server of computer." canonical: https://www.keurigonline.nl/begrippenlijst/rce last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # RCE RCE (remote code execution) is een lek waardoor een aanvaller via het netwerk eigen code laat uitvoeren op een server of computer. RCE staat voor remote code execution: een aanvaller laat via het netwerk eigen code draaien op een systeem dat niet van hem is, vaak zonder dat hij daar heeft ingelogd. Het is de zwaarste soort lek, want wie code kan uitvoeren, kan in principe alles wat het getroffen programma mag. RCE is geen aparte fout maar een gevolg van andere fouten. Het ontstaat bijvoorbeeld als een applicatie invoer van buiten als code uitvoert (code-injectie), bij het onveilig terugzetten van opgeslagen gegevens (deserialisatie) of bij geheugenfouten zoals een buffer overflow of use-after-free. De code van de aanvaller draait met de rechten van het getroffen proces, en vanaf daar probeert hij vaak hogere rechten te krijgen. Bekende RCE-lekken scoren daarom hoog op de CVSS-schaal. Log4Shell (CVE-2021-44228) kreeg in 2021 het maximum van 10,0, omdat een aanvaller via een stukje tekst dat in een logbestand belandde zijn eigen code kon laten laden. Ook de twee PHP-lekken van oktober 2026 noemde php.net kritieke remote-code-execution-lekken. De aanval raakte PHP zelf, nog voordat de code van een website aan de beurt was, dus een beveiligingsplugin in je site hield hem niet tegen. Het verschil met XSS zit in de plek waar de code draait. Bij XSS draait de code van de aanvaller in de browser van een bezoeker, bij RCE op de server zelf, met toegang tot alles wat dat proces kan bereiken. Op shared hosting beperkt isolatie zoals CloudLinux CageFS hoe ver een aanvaller dan komt, omdat elk account afgeschermd draait van de andere accounts. ## Geschiedenis Code op afstand uitvoeren is een van de oudste doelen van aanvallers. De [Morris-worm](https://en.wikipedia.org/wiki/Morris_worm) deed het in 1988 al via een buffer overflow in de finger-dienst. Lukt het uitvoeren van willekeurige code via een netwerk, dan heet dat remote code execution ([Wikipedia](https://en.wikipedia.org/wiki/Arbitrary_code_execution)). Belangrijke mijlpalen: - **1988:** De Morris-worm voert via een buffer overflow eigen code uit op Unix-machines - **2021:** [Log4Shell](https://en.wikipedia.org/wiki/Log4Shell) in de Java-bibliotheek Log4j krijgt CVSS 10,0 - **2026:** PHP repareert twee kritieke lekken die volgens [php.net](https://www.php.net/archive/2026.php) remote code execution mogelijk maken zonder in te loggen ## Bronnen 1. **Wikipedia** - [Arbitrary code execution](https://en.wikipedia.org/wiki/Arbitrary_code_execution) 2. **MITRE CWE** - [CWE-94: Improper Control of Generation of Code (Code Injection)](https://cwe.mitre.org/data/definitions/94.html) 3. **OWASP** - [Code Injection](https://owasp.org/www-community/attacks/Code_Injection) 4. **NIST NVD (2021)** - [CVE-2021-44228 Detail](https://nvd.nist.gov/vuln/detail/CVE-2021-44228) 5. **PHP (2026)** - [Security advisory: critical remote code execution vulnerabilities](https://www.php.net/archive/2026.php) ## Gerelateerde artikelen Beveiliging 21 jul 2026 [WordPress CVE-2026-63030 beveiligen: patch nu (wp2shell)](https://www.keurigonline.nl/blog/wordpress-cve-2026-63030-beveiligen) Draai je [WordPress 6.9](https://www.keurigonline.nl/blog/wordpress-6-9), dan zit je middenin de eerste risicogroep. Voor de volledige overname (niet alleen de sql-injectie) moet aan twee voorwaarden voldaan zijn: de REST API moet extern bereikbaar zijn, en de site mag geen persistent object cache draaien (Redis of Memcached). Veel managed hosting heeft dat standaard niet aanstaan, wat het risico juist groot maakt.[\[4\]](https://hackify.nl/blog/wp2shell-wordpress-core-rce/) Draai je wel een persistent object cache? Dan blokkeer je het rce-pad, maar de onderliggende sql-injectie blijft aanwezig en moet je alsnog patchen. ## Waarom dit nu urgent is: actief misbruikt Dit is geen theoretisch risico meer. SecurityWeek bevestigde op 20 juli 2026 actieve exploitatie van wp2shell in het wild.[\[5\]](https://www.securityweek.com/wp2shell-wordpress-vulnerabilities-exploited-in-the-wild/amp/) Benjamin Harris, ceo van Searchlight Cyber, waarschuwde: "This is going to hurt. WordPress runs on hundreds of millions of websites globally. Some of those will be auto-patched by their hosting providers, but plenty will not, and that is where the damage will be done."[\[5\]](https://www.securityweek.com/wp2shell-wordpress-vulnerabilities-exploited-in-the-wild/amp/)