L'esecuzione remota di codice arbitrario (RCE) è una vulnerabilità che consente a un attaccante di far eseguire a un sistema bersaglio il codice scelto dall'attaccante da una posizione remota, di solito tramite una rete o attraverso un'interazione costruita ad hoc, come un link, un file o una richiesta. "Arbitrario" significa che l'attaccante non è limitato a un'azione innocua: spesso può eseguire comandi, avviare malware o installare meccanismi di persistenza.
La RCE è importante perché può trasformare un singolo bug in una compromissione completa. Negli attacchi reali, compare spesso in servizi esposti, software desktop, parser di documenti, componenti del browser o gestori di link personalizzati che si fidano di input non convalidati. I difensori cercano percorsi di codice correggibili con patch, limitano i privilegi, isolano le funzionalità rischiose e monitorano alberi dei processi, righe di comando e attività di rete per individuare segnali che un normale clic o una richiesta siano diventati esecuzione di codice.