远程代码执行（RCE）是指攻击者能够在目标服务器或设备上任意运行代码的安全漏洞类型，因危害最直接——可直接接管系统——长期被视为最高危的漏洞类别之一。近期 PHP、Node.js、Linux 内核、WordPress、Discourse 等多个主流基础软件接连曝出此类漏洞，且多个被标注最高严重级别，使远程代码执行再次成为安全社区关注的焦点。
远程代码执行漏洞近期进展
当前焦点与观察点
从近期案例看，远程代码执行漏洞有三个值得注意的趋势。其一，RCE 风险正大量来自基础库和供应链环节——libheif 一类图像处理库的缺陷可以波及 Discourse 等上层应用，意味着开发者的依赖治理变得愈发重要。其二，开源基础软件的漏洞响应被提到了政策层面，欧盟建议机构对打不上补丁的 PHP 网站直接下线，把安全风险从技术问题上升为合规问题。其三，AI 正在改变攻防节奏：已有安全人员借助 AI 快速开发出零点击的微信蠕虫，相关漏洞虽已修复，但这类工具显著降低了高级攻击的技术门槛。
对企业和开发者的启示较为明确：将操作系统、运行时（如 PHP、Node.js）与第三方依赖的更新纳入常态化流程，对 CVSS 9.0 以上的高危通告建立快速响应机制，并对未被利用的漏洞保持跟踪——因为 Windows Netlogon 漏洞已被黑客实际利用的案例表明，公告与在野利用之间的窗口期正在缩短。