Container RCE significa che un attaccante può eseguire codice arbitrario all'interno di un'applicazione containerizzata, come un servizio web, un gateway o un worker API. Lo sfruttamento può derivare da un endpoint applicativo vulnerabile, un plugin non sicuro, un bug di deserializzazione, un'iniezione di comandi o una dipendenza difettosa. Sebbene il codice venga eseguito all'interno del container e non direttamente sull'host, questo accesso è comunque grave perché i container spesso gestiscono credenziali, token, log e accesso di rete ai servizi interni.
Nella sicurezza informatica, Container RCE è importante perché può essere un trampolino verso una compromissione più ampia. Un attaccante che ottiene l'esecuzione di codice può leggere segreti montati, chiamare API upstream, muoversi lateralmente nel cluster o abusare dei privilegi se il container è configurato in modo errato. I difensori riducono questo rischio applicando rapidamente le patch, eseguendo i container come non root, rimuovendo le capacità non necessarie, usando filesystem in sola lettura, isolando le reti e tenendo le chiavi sensibili fuori dall'immagine del container e dall'ambiente di runtime.