Wat is remote code execution? RCE in gewone taal

WindowsMacBijgewerkt 2026-10-24

Remote code execution, kort RCE, is de term die beveiligingsadviezen gebruiken als een lek iemand zijn eigen code laat uitvoeren op een systeem dat hij via een netwerk bereikt. Het Nationaal Cyber Security Centrum (NCSC) schrijft over de PHP-kwetsbaarheden van oktober 2026 dat ze "zonder authenticatie op afstand" kunnen worden misbruikt "voor het uitvoeren van willekeurige code". Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Remote code execution (RCE) betekent dat een beveiligingslek iemand zijn eigen code of opdrachten kan laten uitvoeren op een computer, vanaf een andere plek in een netwerk. Het NCSC schrijft dat misbruik van de PHP2Shell-lekken ertoe kan leiden dat aanvallers op afstand systemen overnemen. Het herstel is de taak van de eigenaar van de server: de getroffen software updaten.

Wat betekent remote code execution?

De duidelijkste woorden staan in de adviezen zelf. Het advies van het PHP-project van 21 oktober 2026 spreekt van "two critical vulnerabilities that can allow unauthenticated remote code execution", twee kritieke kwetsbaarheden die remote code execution zonder authenticatie mogelijk kunnen maken. Het advies van het NCSC zegt dat beide lekken zonder authenticatie via webverzoeken kunnen worden misbruikt en kunnen leiden tot het uitvoeren van willekeurige code op de getroffen server.

De twee woorden die er het meest toe doen, zijn "op afstand" en "zonder authenticatie". FIRST, de organisatie achter het CVSS-scoresysteem, schrijft dat een lek dat via een netwerk kan worden aangevallen vaak "remotely exploitable" heet, op afstand uitbuitbaar, en dat de mogelijke aanvallers dan kunnen reiken tot en met het hele internet. In hetzelfde document heet een aanvaller die geen account of login nodig heeft "unauthenticated prior to attack", niet aangemeld vóór de aanval.

RCE beschrijft dus wat een lek mogelijk zou kunnen maken, niet iets wat al gebeurd is.

Waarom geldt RCE als zo ernstig?

Door wat een aanvaller zou kunnen doen zodra zijn code draait. CVSS, het scoresysteem uit onze gids over CVE-nummers en CVSS-scores, legt dat vast als impact. In de scores van het PHP-project voor beide PHP2Shell-lekken staat de impact op hoog voor vertrouwelijkheid, integriteit en beschikbaarheid. FIRST geeft bij hoge integriteitsimpact het voorbeeld dat de aanvaller alle bestanden kan wijzigen die het kwetsbare systeem beschermt. Bij hoge vertrouwelijkheidsimpact is het voorbeeld een aanvaller die het wachtwoord van de beheerder steelt, of de privé-sleutels voor versleuteling van een webserver.

Dezelfde scores leggen ook vast wat een aanval moeilijker maakt. Bij beide lekken staat de aanvalscomplexiteit op hoog en zijn er aanvalsvoorwaarden aanwezig. Het eerste betekent volgens FIRST dat de aanval afhangt van het omzeilen van beveiligingsmaatregelen die al aanwezig zijn. Het tweede betekent dat de aanval afhangt van bepaalde omstandigheden in hoe het systeem is ingericht en draait, en FIRST merkt op dat zo'n aanval misschien meerdere keren op hetzelfde doelwit moet worden uitgevoerd voordat hij slaagt.

Met dat alles meegewogen geeft het PHP-project beide lekken 9,2 op 10, en dat valt in de categorie kritiek.

Wat betekent RCE als ik een website heb?

Dat updaten dringend is als je site een getroffen PHP-versie gebruikt. Het PHP-advies zegt dat het risico het grootst is bij Apache met mod_php, "with a demonstrated exploit where an unauthenticated request can trigger the attack before any application code runs". In gewone taal: bij mod_php is een aanval aangetoond waarbij één niet-aangemeld verzoek de aanval start voordat WordPress of andere sitesoftware ook maar heeft gedraaid. Welke versies het oplossen en wat je doet, staat in onze uitleg over de PHP-kwetsbaarheid.

Begin met de PHP-versie van je website controleren. Beheert je hostingpartij PHP voor je, lees dan mijn hostingbedrijf zegt dat PHP is gepatcht voor wat er aan jouw kant overblijft.

Wat betekent RCE als ik alleen websites bezoek?

Een RCE-lek in PHP is een lek op de server. De lijst in het PHP-advies van wie risico loopt, noemt serversoftware, zoals PHP-FPM en Apache met mod_php, en noemt geen webbrowsers of apparaten van bezoekers. Het NCSC schrijft dat alle PHP-installaties die webverzoeken verwerken getroffen zijn. Safeonweb, de Belgische site voor veilig internetten, schrijft dat je voor dit specifieke beveiligingsprobleem zelf niets hoeft te doen.

Over misbruik: het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Het schrijft ook dat misbruik ingewikkeld is en dat de kans op grootschalig misbruik kleiner is dan eerder werd ingeschat.

Twee verwante vragen hebben een eigen gids: kun je gehackt worden door een website te bezoeken? en zijn mijn persoonsgegevens in gevaar?

Hoe leidt PHP2Shell tot remote code execution?

Het PHP-advies noemt de twee lekken naar de manier waarop ze tot RCE leiden: "RCE via OOM corruption" (CVE-2026-109618) en "RCE via stale global state" (CVE-2026-109619). Het NCSC legt ze in het Nederlands uit.

CVE-2026-109618 betreft geheugenbeschadiging bij de afhandeling van een situatie waarin het geheugen opraakt. Daardoor kunnen interne gegevens van een verzoek slechts gedeeltelijk worden geïnitialiseerd (klaargezet) en toch als geldige gegevens worden behandeld, wat kan leiden tot remote code execution.
CVE-2026-109619 betreft interne status die achterblijft nadat het bijbehorende geheugen is vrijgegeven. Een volgend verzoek dat door dezelfde worker wordt verwerkt, kan die verouderde status gebruiken voordat die opnieuw wordt geïnitialiseerd, wat ook kan leiden tot remote code execution.

De officiële CVE-records voegen toe dat PHP daarna geheugen van het verzoek kan lezen of er een keuze op kan baseren, terwijl dat geheugen in het eerste geval niet is geïnitialiseerd en in het tweede al is vrijgegeven.

Meer vragen

Waar staat RCE voor?

Voor remote code execution, het op afstand uitvoeren van code. Het PHP-project gebruikt de afkorting in de namen van beide PHP2Shell-lekken, "RCE via OOM corruption" en "RCE via stale global state", en de officiële CVE-records zeggen dat beide lekken kunnen leiden tot remote code execution (RCE).

Is remote code execution hetzelfde als gehackt zijn?

Nee. RCE beschrijft wat een lek mogelijk zou kunnen maken. Gehackt zijn betekent dat iemand een lek echt tegen een systeem heeft gebruikt. Tot en met 23 oktober 2026 geeft geen van de officiële berichten in deze gids een aantal gehackte sites. Heb je een site en lijkt er iets mis, lees dan website gehackt: wat nu?

Wat betekent "zonder authenticatie" in een advies?

Dat de aanvaller niet ingelogd hoeft te zijn, en geen account of wachtwoord op het systeem nodig heeft. De CVSS-specificatie van FIRST zegt dat zo'n aanvaller vóór de aanval geen toegang tot instellingen of bestanden nodig heeft.

Krijgt elk RCE-lek de score kritiek?

Nee. De score hangt af van hoe makkelijk de aanval is en wat die nodig heeft, naast de impact, en verschillende beoordelaars kunnen het oneens zijn: de Amerikaanse National Vulnerability Database gaf CVE-2026-109619 de score hoog, niet kritiek. Onze gids over CVE-nummers en CVSS-scores vergelijkt de scores.

Is RCE een soort kwetsbaarheid?

Ja. Het CVE-programma omschrijft een kwetsbaarheid als een zwakte in een product die kan worden uitgebuit, met een negatieve impact op vertrouwelijkheid, integriteit of beschikbaarheid. RCE beschrijft één ding dat zo'n zwakte mogelijk kan maken. Onze gids wat is een kwetsbaarheid? legt het bredere begrip uit.