React2Shell: Vulnerabilitatea critică care amenință milioane de aplicații web la nivel global

O vulnerabilitate de securitate extremă, descoperită în framework-ul React și denumită „React2Shell” (CVE-2025-55182), a declanșat o cursă contracronometru pentru dezvoltatorii de aplicații web din întreaga lume. Cu un scor CVSS de 10.0 – maximul absolut pe scala de severitate – această breșă de securitate permite atacatorilor să execute cod arbitrar pe servere fără nicio autentificare.

Descoperirea și amploarea problemei

Vulnerabilitatea a fost identificată de cercetătorul de securitate Lachlan Davidson la 29 noiembrie 2025 și raportată echipei Meta prin programul Bug Bounty. După o coordonare rapidă între Meta, Vercel și principalii furnizori de cloud, vulnerabilitatea a fost dezvăluită public pe 3 decembrie 2025, odată cu lansarea patch-urilor de securitate.

Impactul este masiv: React este utilizat de aproximativ 40% din toți dezvoltatorii la nivel global, cu peste 20 de milioane de descărcări săptămânale. Platforme majore precum Instagram, Netflix și Airbnb, care deservesc miliarde de utilizatori, se bazează pe această tehnologie. Potrivit datelor Wiz Research, 39% din mediile cloud conțin instanțe vulnerabile ale React sau Next.js.

Mecanismul atacului

React2Shell exploatează o problemă de deserializare nesigură în protocolul „Flight” utilizat de React Server Components. Atacatorii pot trimite o cerere HTTP special construită către orice endpoint al unei Server Function pentru a obține control complet asupra serverului. Ceea ce face această vulnerabilitate deosebit de periculoasă este că:

• Funcționează împotriva configurațiilor implicite – o aplicație Next.js standard creată cu create-next-app este vulnerabilă fără nicio modificare a codului
• Nu necesită autentificare
• Are o rată de succes aproape de 100% în testări
• Afectează aplicațiile chiar dacă acestea nu implementează explicit Server Functions, atâta timp cât suportă React Server Components

Framework-urile afectate includ Next.js (versiunile 15.x și 16.x), React Router, Waku, RedwoodSDK, Parcel și plugin-urile RSC pentru Vite.

Exploatare activă în mediul real

La doar câteva ore după dezvăluirea publică, cercetătorii din domeniul securității au observat primele tentative de exploatare. Amazon Web Services a raportat că actori de amenințări asociați cu state-nexus din China, inclusiv grupurile Earth Lamia și Jackpot Panda, au încercat rapid să exploateze vulnerabilitatea.

Echipa Wiz Research a documentat multiple campanii de atac în desfășurare:

• Minarea criptovalutelor: Atacatorii instalează variante ale minerului XMRig, mascate ca procese de sistem legitime
• Furtul de credențiale cloud: Enumerarea variabilelor de mediu și extragerea cheilor de acces AWS, Azure și GCP
• Backdoor-uri sofisticate: Implementarea de implanturi Sliver și malware personalizat precum PeerBlight, care utilizează rețeaua BitTorrent DHT ca mecanism C2 de rezervă
• Servere Cobalt Strike: Stabilirea de reverse shell-uri pentru acces persistent

Compania de securitate GreyNoise a identificat 362 de adrese IP unice care au încercat să exploateze vulnerabilitatea până la 8 decembrie, atacurile provenind din mai multe țări și rețele.

Răspunsul industriei

Furnizorii majori de cloud au reacționat rapid:

• AWS a implementat reguli WAF actualizate în setul de reguli AWSManagedRulesKnownBadInputsRuleSet
• Cloudflare a desfășurat protecții WAF de urgență și a remarcat că aplicațiile React deployate pe Cloudflare Workers sunt imune în mod inerent datorită modelului lor de securitate
• Vercel a lansat un utilitar interactiv npx fix-react2shell-next pentru verificarea și patch-uirea rapidă

Vulnerabilități suplimentare descoperite

În urma scrutinului intens asupra codului React după descoperirea React2Shell, cercetătorii au identificat două vulnerabilități conexe:

• CVE-2025-55184 (CVSS 7.5): Atacuri de tip Denial of Service prin recursiune infinită de promisiuni
• CVE-2025-55183 (CVSS 5.3): Expunerea codului sursă al Server Functions în anumite condiții
• CVE-2025-67779: O variantă suplimentară a vulnerabilității DoS, care afectează versiunile parțial patch-uite

Aceste descoperiri subliniază complexitatea securizării ecosistemelor software moderne și importanța unei abordări defensive în profunzime.

Recomandări urgente pentru organizații

Experții în securitate recomandă acțiuni imediate:

1. Actualizare urgentă la versiunile patch-uite:
   • React: 19.0.1, 19.1.2, 19.2.1 sau mai recente (19.0.3, 19.1.4, 19.2.3 pentru toate vulnerabilitățile)
   • Next.js: 16.0.7, 15.5.7, 15.4.8, 15.3.6, 15.2.6, 15.1.9, 15.0.5 sau 14.2.35
2. Scanare proactivă pentru identificarea instanțelor vulnerabile în infrastructura cloud
3. Monitorizare intensificată pentru indicatori de compromitere (IOC), disponibili pe repository-uri publice precum cel al Datadog
4. Implementarea protecțiilor WAF ca măsură temporară, dar nu ca înlocuitor pentru patch-uri
5. Audit de securitate pentru a identifica potențiale compromisuri existente

Lecții pentru viitor

Incidentul React2Shell ilustrează vulnerabilitatea critică a lanțului de aprovizionare software modern. Cu milioane de aplicații dependente de biblioteci open-source, o singură vulnerabilitate poate avea implicații globale instantanee. Răspunsul coordonat între Meta, Vercel și comunitatea de securitate demonstrează importanța divulgării responsabile și a colaborării între industrie.

Pentru dezvoltatorii români și companiile tech locale care utilizează React sau Next.js, mesajul este clar: patch-uirea imediată nu este opțională. Vulnerabilitatea este deja exploatată activ de actori sofisticați, iar ferestrele de oportunitate pentru atacatori se îngustează pe măsură ce mai multe organizații implementează actualizările.