Glossar
RCE (Remote Code Execution)
Remote Code Execution bezeichnet die gefährlichste Klasse von Schwachstellen: Ein Angreifer kann aus der Ferne eigenen Code auf einem fremden System ausführen – ohne physischen Zugriff, oft ohne gültige Zugangsdaten. Gelingt das, gehört das System praktisch dem Angreifer: Er kann Daten stehlen, Ransomware installieren, Hintertüren einrichten oder das System als Sprungbrett ins interne Netz nutzen. RCE-Lücken entstehen auf viele Arten: unsichere Deserialisierung von Daten, Injection-Fehler (etwa Command Injection), Speicherfehler wie Buffer Overflows oder Logikfehler in Datei-Uploads und Template-Engines. Berühmte Beispiele wie Log4Shell zeigen das Schadenspotenzial: Eine einzige RCE in einer weit verbreiteten Komponente kann hunderttausende Systeme weltweit gleichzeitig angreifbar machen. Besonders kritisch sind RCEs, die „unauthenticated“ und „network-based“ sind – also ohne Anmeldung über das Netzwerk funktionieren. Solche Lücken erhalten typischerweise CVSS-Werte von 9.8 bis 10.0 und werden nach Veröffentlichung oft binnen Stunden von automatisierten Scannern gesucht. Steht ein betroffenes System mit offenem Port im Internet (VPN-Gateways, Mailserver, Firewalls sind beliebte Ziele), zählt jede Stunde bis zum Patch. Für die Praxis: RCEs in extern erreichbaren Systemen sind Chefsache – Notfall-Patch oder Workaround (z. B. Dienst abschalten, Zugriff einschränken) am selben Tag. SecFeed stuft RCE-Meldungen entsprechend hoch ein; steht zusätzlich das KEV-Badge daneben, läuft die Ausnutzung bereits – dann ist neben dem Patchen auch die Prüfung auf Kompromittierung (Logs, Indikatoren) Pflicht. Verwandte Begriffe, die in Advisories oft daneben stehen: „Authentication Bypass“ (Umgehung der Anmeldung – in Kombination mit RCE besonders gefährlich), „Privilege Escalation“ (Rechteausweitung nach dem Einstieg) und „Arbitrary File Write/Read“ (kann je nach Kontext zu RCE eskalieren). Beim Priorisieren hilft die Frage nach der Angriffskette: Eine RCE, die nur mit gültigem Admin-Konto funktioniert, ist deutlich entschärfter als eine ohne Anmeldung – der CVSS-Vektor (AV/PR/UI) verrät genau das. Für exponierte Systeme lohnt zusätzlich ein Blick von außen: Was per Internet erreichbar ist, wird nach Advisory-Veröffentlichung auch von Angreifern gefunden. Ein aktuelles Inventar der exponierten Dienste ist deshalb die halbe Miete: Wer weiß, was von außen erreichbar ist, beantwortet bei jeder neuen RCE-Meldung die Betroffenheitsfrage in Minuten statt Tagen.
Verwandte Begriffe
CVE (Common Vulnerabilities and Exposures) CVSS (Common Vulnerability Scoring System) EPSS (Exploit Prediction Scoring System) KEV (Known Exploited Vulnerabilities) NIS2 (EU-Richtlinie zur Netz- und…