「CVSS 10.0 的 RCE」是漏洞新聞裡最嚴重的說法之一。本站從零開始解說：為什麼 RCE 是「最糟一類」，它和其他漏洞究竟有何不同。
它和其他漏洞究竟有何不同
許多漏洞的影響是有限的。RCE 因為「在伺服器本體上執行命令」，量級完全不同。下面拿三個有代表性的漏洞來比較。
| 漏洞 | 程式碼執行的地方 | 主要被害 | 一般嚴重度 |
|---|---|---|---|
| XSS | 使用者的瀏覽器 | 竊取工作階段、竄改畫面 | 中～高 |
| SQLi | 資料庫 | 讀出、竄改資料 | 高 |
| RCE | 伺服器本體 | 接管、擴散到其他系統、該程序能做的一切 | 最糟（可達 10.0 級） |
為什麼是最糟一類
攻擊者能在伺服器上執行命令，就意味著那個程序能做的一切，攻擊者都能做。
RCE 成立（任意程式碼執行）
.env 竊取金鑰損害能擴散到多遠，由「那個程序的權限」決定。正因如此，**容器化、最小權限、隔離（限制損害的擴散）**才有效。若以 root 執行，攻擊者就能控制整台伺服器；若以非特權使用者＋隔離執行就能把被害關在小範圍內。
多數 RCE 並非來自自己的 bug，而是來自已公開的漏洞
RCE 不僅來自自己寫出的 bug，更多時候是來自所用框架或函式庫的已知漏洞。歷史上的重大事故，也大多是 RCE。
- Log4Shell（CVE-2021-44228）：經由日誌元件的 RCE，全球各地的組織都急忙因應。
- Equifax（CVE-2017-5638）：未修補的 Struts RCE，波及 1.47 億人。
- 放任 CVSS 10.0 而被踩的故事：把已公開的 RCE 放任了數月。
使用者能做的防禦
不要放任已公開的 CVE（最大的防禦）
用機器監控 CVE（Dependabot / osv-scanner），並迅速更新到修復版本。RCE 大半都源於放任已知漏洞不修補。
按實際執行版本來判定
不要看清單裡的下限標註，而要按實際正在執行的版本來衡量危險。相信標註會讓你誤判危險度。
限制損害
以非特權使用者執行，隔離容器與網路。萬一被踩，也能把被害關在小範圍內。
不要把輸入直接交給執行系統
不要讓外部輸入直通到 shell 命令、deserialization 或範本求值。這是不自己製造出 RCE 的基本功。
導致 RCE 的主要原因
RCE 是「結果」的名稱，原因分成幾種類型。MITRE 於 2025 年 12 月公布的「CWE Top 25」（最危險的 25 種軟體弱點）中，有許多弱點會導致 RCE。
| 原因（CWE） | 內容 | CWE Top 25（2025） |
|---|---|---|
| OS 命令注入（CWE-78） | 外部輸入混進 shell 命令，被當成命令執行 | 第 9 |
| 程式碼注入（CWE-94） | 外部輸入被當成程式碼求值並執行 | 第 10 |
| 危險的檔案上傳（CWE-434） | 可執行的檔案被放到伺服器上並在那裡執行（→ 檔案上傳漏洞，英文） | 第 12 |
| 不安全的反序列化（CWE-502） | 還原從外部收到的資料時執行了程式碼（→ 不安全的反序列化，英文） | 第 15 |
| 記憶體破壞（CWE-787 等） | 以 C/C++ 撰寫的軟體寫出記憶體範圍之外，執行流程被劫持 | 第 5（越界寫入） |
前四種是你最可能在自己的 App 裡做出來的。記憶體破壞多出現在作業系統、網路設備與函式庫中，使用者這一側的防禦是更新。
實際案例：能從外部連到的產品會被瞄準
- 網路設備：2024 年 7 月，美國 CISA 與 FBI 發出警示，要求製造商消除 OS 命令注入；起因是網路邊界設備中的這類缺陷被當作無需認證的 RCE 利用（→ 保護 VPN 設備，英文）。
- AI 工具：用來建構 AI 代理的工具 Langflow，其程式碼驗證功能存在無需認證的 RCE（CVE-2026-0770），並被列入 KEV（→ CVE-2026-0770 解說，英文）。
- CMS：WordPress 核心的檔案引入缺陷（CVE-2026-87902），在滿足特定伺服器條件時會導致 RCE（→ CVE-2026-87902 解說，英文）。
共通點是這些產品都位於不需認證就能從網際網路連到的地方。RCE 的危險程度不只取決於缺陷本身，也很大程度取決於它能否從外部被觸及。
聽到「CVSS 10.0 的 RCE」時要確認什麼
你有在執行它嗎？
用 CVE / KEV 查詢從 CVE 編號查出受影響的產品與版本，再與你環境中實際執行的版本比對。相依套件可以用 osv-scanner 一次檢查。
能從外部連到嗎？
確認受影響的功能或管理畫面，是否不需認證就能從網際網路連到。若可以，考慮在更新之前讓它離線。
是否正被利用？
如果列在 CISA 的 KEV 中，就表示實際正被利用。分數的讀法請見以 CVSS、EPSS 與 KEV 決定優先順序。
更新之後，找尋入侵的跡象
如果在更新前已有人進來，更新後他們仍然在。找找不認得的檔案、新增的帳號，以及可疑的對外通訊（C2）。
出處（一手資料）
- MITRE, "2025 CWE Top 25 Most Dangerous Software Weaknesses"（2025 年 12 月）— cwe.mitre.org（CWE-78、94、434、502、787 的排名）
- CISA 與 FBI, "Secure by Design Alert: Eliminating OS Command Injection Vulnerabilities"（2024 年 7 月 10 日）— cisa.gov
- FIRST, "CVSS v3.1 Specification Document" — first.org（嚴重程度的評分方式）
- CISA, "Known Exploited Vulnerabilities Catalog" — cisa.gov