Was ist Remote Code Execution? RCE einfach erklärt

WindowsMacAktualisiert 2026-10-24

Remote Code Execution, kurz RCE, ist der Begriff in Sicherheitshinweisen für eine Lücke, über die ein Angreifer eigenen Code auf einem System ausführen könnte, das er über ein Netzwerk erreicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt zu den PHP-Lücken vom Oktober 2026, Angreifern könnte es gelingen, „aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen“. Dieser Ratgeber hat den Stand vom 23. Oktober 2026.

Kurze Antwort

Remote Code Execution (RCE) bedeutet, dass eine Sicherheitslücke es jemandem ermöglichen könnte, von anderswo im Netz eigenen Code oder Befehle auf einem Computer auszuführen. Bei PHP2Shell betrifft das laut BSI Webserver mit PHP-Anwendungen. Die Lücke zu schließen ist Aufgabe des Serverbetreibers, durch ein Update der betroffenen Software.

Was bedeutet Remote Code Execution?

Die klarste Beschreibung steht in den Hinweisen selbst. Das PHP-Projekt spricht in seinem Sicherheitshinweis vom 21. Oktober 2026 von zwei kritischen Lücken, die eine Remote Code Execution ohne Anmeldung ermöglichen können, auf Englisch „unauthenticated remote code execution“. Das BSI formuliert es auf Deutsch als Ausführen von schadhaftem Code aus der Ferne.

Zwei Wörter zählen dabei am meisten: „aus der Ferne“ und „ohne Anmeldung“. FIRST, die Organisation hinter dem Bewertungssystem CVSS, schreibt, eine über das Netzwerk angreifbare Lücke werde oft als „remotely exploitable“ bezeichnet, also aus der Ferne ausnutzbar, und die möglichen Angreifer könnten bis hin zum gesamten Internet reichen. Ohne Anmeldung heißt in derselben Spezifikation: Der Angreifer braucht vor dem Angriff kein Konto und keinen Zugriff auf Einstellungen oder Dateien. Das BSI leitet aus den Bewertungen der PHP-Lücken ab, dass für eine Ausnutzung weder eine Authentifizierung noch eine Nutzerinteraktion erforderlich ist.

RCE beschreibt also, was eine Lücke ermöglichen könnte, nicht etwas, das schon passiert ist.

Warum gilt RCE als so ernst?

Wegen dem, was ein Angreifer tun könnte, sobald sein Code läuft. CVSS, das Bewertungssystem aus unserem Ratgeber Was ist eine CVE?, hält das als Auswirkung fest. Die Bewertung des PHP-Projekts für beide PHP2Shell-Lücken setzt die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit jeweils auf hoch. Als Beispiel für eine hohe Auswirkung auf die Integrität nennt FIRST einen Angreifer, der alle vom System geschützten Dateien verändern kann. Für eine hohe Auswirkung auf die Vertraulichkeit nennt es den Diebstahl des Administratorpassworts oder privater Schlüssel eines Webservers.

Dieselbe Bewertung hält auch fest, was einen Angriff schwerer macht. Beide Lücken sind mit hoher Angriffskomplexität und mit vorhandenen Angriffsvoraussetzungen markiert. FIRST beschreibt das erste als Angriff, der vorhandene Sicherheitsmechanismen umgehen muss. Das zweite heißt, dass der Angriff von bestimmten Bedingungen beim Betrieb des Systems abhängt und laut FIRST unter Umständen mehrmals gegen dasselbe Ziel gestartet werden muss, bevor er gelingt.

Mit all dem kommt das PHP-Projekt für beide Lücken auf 9,2 von 10, das liegt im Bereich kritisch.

Was bedeutet RCE für mich als Website-Betreiber?

Dass das Update dringend ist, wenn deine Website auf einer betroffenen PHP-Version läuft. Der PHP-Hinweis stuft das Risiko bei Apache mit mod_php am höchsten ein, mit einem demonstrierten Exploit, bei dem eine Anfrage ohne Anmeldung den Angriff auslösen kann, noch bevor Anwendungscode läuft. Einfach gesagt: Bei mod_php kann der Angriff funktionieren, bevor WordPress oder eine andere Software der Seite überhaupt gestartet ist. Das BSI betont, dass ein Update der Anwendung nicht reicht, die PHP-Laufzeitumgebung selbst muss gepatcht werden. Welche Versionen die Lücken schließen, steht in unserer Erklärung zur PHP-Sicherheitslücke.

Beginne mit PHP-Version prüfen. Verwaltet dein Hoster PHP für dich, erklärt Mein Hoster sagt, PHP ist gepatcht, was auf deiner Seite bleibt.

Was bedeutet RCE, wenn ich Websites nur besuche?

Eine RCE-Lücke in PHP ist eine Lücke auf dem Server. Die Liste der gefährdeten Installationen im PHP-Hinweis nennt Serversoftware wie PHP-FPM und Apache mit mod_php, aber keine Webbrowser und keine Geräte von Besuchern. Zur Ausnutzung, Stand 23. Oktober 2026: Das BSI schreibt, ihm sei noch keine erfolgreiche Ausnutzung in der Breite bekannt, Berichte über Ausnutzungsversuche zeigten aber, dass Angriffe versucht werden. Die US-Behörde CISA schreibt in ihrer Warnung vom 21. Oktober, überarbeitet am 23. Oktober, sie habe zum Zeitpunkt der Veröffentlichung keine erfolgreiche Ausnutzung dieser Schwachstellen in freier Wildbahn beobachtet. Zwei verwandte Fragen haben eigene Ratgeber: Kann eine gehackte Webseite dich beim Besuch hacken? und Persönliche Daten gehackt?

Wie führt PHP2Shell zur Remote Code Execution?

Der PHP-Hinweis benennt die beiden Lücken nach dem Weg zur RCE. Die erste heißt „RCE via OOM corruption“ (CVE-2026-109618): Die Behandlung eines Speichermangels kann PHP unterbrechen, während interne Daten einer Anfrage erst teilweise initialisiert sind. Die zweite heißt „RCE via stale global state“ (CVE-2026-109619): Ein interner Zustand, der zu einer Anfrage gehört, kann weiterbestehen, nachdem der Speicher dahinter schon freigegeben wurde. Die offiziellen CVE-Einträge ergänzen, dass PHP danach Speicher einer Anfrage lesen oder auswerten kann, der im ersten Fall nicht initialisiert und im zweiten schon freigegeben ist.

Weitere Fragen

Wofür steht RCE?

Für Remote Code Execution, auf Deutsch etwa Codeausführung aus der Ferne. Das PHP-Projekt verwendet die Abkürzung in den Namen beider PHP2Shell-Lücken, und die offiziellen CVE-Einträge sagen, dass beide zu einer Remote Code Execution (RCE) führen können.

Ist Remote Code Execution dasselbe wie gehackt werden?

Nein. RCE beschreibt, was eine Lücke ermöglichen könnte. Gehackt heißt, dass jemand eine Lücke tatsächlich gegen ein System genutzt hat. Für PHP2Shell nennt keiner der offiziellen Hinweise eine Zahl kompromittierter Websites. Wirkt bei deiner eigenen Seite etwas falsch, lies Website gehackt: was tun?

Was heißt „ohne Anmeldung“ in einem Sicherheitshinweis?

Dass der Angreifer weder eingeloggt sein noch ein Konto oder Passwort auf dem System haben muss. Laut CVSS-Spezifikation von FIRST braucht ein solcher Angreifer vor dem Angriff keinen Zugriff auf Einstellungen oder Dateien.

Ist jede RCE-Lücke kritisch?

Nein. Der Wert hängt auch davon ab, wie leicht der Angriff ist und was er voraussetzt, und verschiedene Stellen können zu unterschiedlichen Ergebnissen kommen. Die US-Datenbank NVD bewertet CVE-2026-109619 nach CVSS 3.1 mit 8,1, also hoch, nicht kritisch. Was ist eine CVE? vergleicht die Werte.

Ist RCE eine Art Sicherheitslücke?

Ja. RCE beschreibt eine Sache, die eine Schwachstelle ermöglichen kann. Den allgemeinen Begriff erklärt Was ist eine Sicherheitslücke?