Remote code execution (RCE) betekent dat een aanvaller van buitenaf eigen opdrachten op jouw server kan uitvoeren, alsof hij er zelf achter zit. Dat geldt als een van de ergste soorten beveiligingsproblemen. Komt zo’n lek voor in jouw software, installeer dan snel de update.
Wat is remote code execution?
Remote code execution (RCE) geldt vaak als het ernstigste soort lek, omdat code die op een server draait alles kan wat de software daar kan: bestanden lezen, pagina’s veranderen, mail versturen of bij de database komen.
Normaal voert een server alleen code uit die de eigenaar erop heeft gezet. Een RCE-fout doorbreekt die regel. Door een zwakke plek in de software wordt invoer van buiten behandeld als iets wat je moet uitvoeren, of het geheugen van het programma wordt in een toestand geduwd waarin een aanvaller kan sturen wat er daarna gebeurt. De aanvaller heeft geen fysieke toegang nodig, alleen een manier om verzoeken naar de server te sturen.
De ernst hangt van twee dingen af. Eerst: wat is er nodig om het te starten? Sommige fouten vragen een geldige login, andere niet. Daarnaast: hoe makkelijk is het? Een fout die zeldzame omstandigheden nodig heeft, is lastiger te gebruiken dan een fout die altijd werkt. Beide komen in de CVSSCVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico.-vector van het CVEEen CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft.-record terecht, en daarom krijgt RCE vaak een score van 9 of hoger.
Waarom één fout veel sites kan raken
Zit de zwakke plek in de PHP-runtime zelf, dan is hij niet eigen aan één site. Elke site die door die PHP-installatie wordt bediend, kan in beeld zijn, welk CMSEen contentmanagementsysteem (CMS) is een programma waarmee je teksten en afbeeldingen op je website zelf aanpast, zonder te hoeven programmeren. hij ook gebruikt en hoe schoon de eigen code ook is. Hetzelfde geldt voor een fout in de webserverEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt. of in een gedeelde pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop..
Wat het betekent voor een PHP- of WordPress-site
Op shared hosting draagt één server vaak veel sites. Is PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. daar kwetsbaar voor RCE, dan kan een fout in de ene site een probleem voor de andere worden. Dat is nog een reden om de runtime bij te werken en niet alleen de plugins. Ook de manier waarop PHP aan de webserver hangt telt: PHP-FPMPHP-FPM is een programma op de server dat de PHP-code van je website uitvoert en de afgemaakte pagina doorgeeft, zodat bezoekers hem zien., mod_phpmod_php is een oudere manier waarop een server de PHP-code van je website uitvoert, als onderdeel van de software die je site aflevert. en vergelijkbare opstellingen handelen allemaal webverzoeken af, en in een advisory kunnen sommige als blootgestelder worden gezien dan andere.
Bij plugins komt RCE vaak binnen via bestandsuploads, onveilige verwerking van geserialiseerde gegevens, of code die uitvoert wat een verzoek meegeeft. Dat zijn fouten die een gewone update oplost, mits de plugin nog wordt onderhouden.
Een concreet voorbeeld
Op 21 oktober 2026 bracht het PHP-project PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit om twee kritieke kwetsbaarheden te verhelpen. Volgens php.net kan een aanvaller er zonder inloggen code mee op de server uitvoeren. De CVE-records beschrijven CVE-2026-109618 als RCE via OOM-corruptie en CVE-2026-109619 als RCE via verouderde globale status, en beide hebben een CVSS v4.0-score van 9,2. php.net noemt alle PHP-installaties die webverzoeken afhandelen als risico, met mod_php als grootste risico, en meldt geen misbruik in de praktijk. De pagina over PHP2Shell toont elk feit met bron en controletijd.
Wanneer je handelt
Een RCE-fout in software die je draait is een reden om binnen dagen te updaten. Zoek eerst je versie uit: je hostingpaneelEen hostingpaneel, zoals cPanel of Plesk, is de beheerpagina van je hosting, waar je domeinen, e-mail en PHP-versie instelt. of een phpinfo-pagina toont hem, en de gratis PHP exposure check laat zien wat anderen van buiten kunnen lezen. Installeer daarna de opgeloste versie, of vraag je host wanneer die komt. Maak voor de update een verse back-upEen back-up is een kopie van je hele website, apart bewaard, zodat je hem kunt terugzetten als er iets misgaat. van bestanden en database.
Kun je vandaag niet updaten, dan noemt php.net tijdelijke instellingen die het risico verkleinen maar een site niet veilig maken. Gebruik ze alleen als noodoplossing. Krijgt je PHP-takEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. geen fixes meer, vraag dan naar onze hulp bij php updaten. Vermoed je dat een site al is gebruikt of staat je website offline, dan is onze hulp de route. Lees bij exploitEen exploit is een stukje code of een werkwijze waarmee iemand een zwakke plek in software echt kan uitbuiten. hoe de aanvalskant werkt.
Veelgestelde vragen
Waarom heet RCE het ernstigste soort lek?
Omdat code die op de server draait dezelfde mogelijkheden geeft als de software zelf: bestanden lezen, pagina's veranderen, bij de database komen. Andere soorten fouten geven meestal een smaller resultaat.
Heeft RCE altijd een login nodig?
Nee. Sommige RCE-fouten hebben eerst een account nodig, andere zijn te starten zonder in te loggen. De advisory en de CVSS-vector laten zien welk soort het is. Een fout zonder login is ernstiger, omdat iedereen die de server kan bereiken het kan proberen.
Is een RCE-lek hetzelfde als een gehackte site?
Nee. Het is een zwakke plek die een aanval mogelijk kan maken. Een site is pas gecompromitteerd als iemand hem heeft gebruikt. Updaten naar een opgeloste versie dicht de zwakke plek.
Wat doe ik als er een RCE-lek in PHP wordt gemeld?
Zoek je PHP-versie uit, vergelijk hem met de advisory van de maker en installeer de opgeloste versie, of vraag je host wanneer die komt. Maak eerst een verse back-up en gebruik tijdelijke instellingen alleen als noodoplossing.