Специалисти алармират за множество опити за експлоатиране на React2Shell

Агенцията за киберсигурност и инфраструктурна защита на САЩ (CISA) предупреждава федералните агенции в страната да наложат обновлението за CVE-2025-55182. Причината е, че са регистрирани масови опити за експлоатирането на уязвимостта.

CVE-2025-55182 се явява критична уязвимост (CVSS: 10.0/10) във Flight протокола на React Server Components (RSC). Както поддържащите React.js, така и тези администриращи Next.js вече издадоха съответни бюлетини за уязвимостта. Успешната експлоатация към React2Shell, както стана известна уязвимостта, позволява изпълнението на зловреден код към сървъра с повишени привилегии. При това, няма нужда атакуващата страна да се е удостоверила пред него.

„Една-единствена, специално изготвена HTTP заявка е достатъчна. Няма изискване за удостоверяване или извършването на конкретно действие от страна на жертвата“, написаха преди дни Cloudflare. “Веднъж постигнала успех, атакуващата страна може да изпълни произволен, привилегирован JavaScript скрипт към засегнатия сървър“.

Отговорен за откриването на React2Shell е Лакланд Дейвидсън. Той разкрива проблема на 29-ти миналия месец. Броени дни след това в Интернет се появяват PoC (proof-of-concept) примери, валидиращи уязвимостта. Както и работещи експлойти. Не закъсняват и опитите за експлоатирането на CVE-2025-55182.

Множеството опити за атака и засечените успешни такива, провокират CISA да включи React2Shell в каталога си с известни атакувани уязвимости. Те дават срок до края на декември на държавните организации да запушат дупката. Но поради критичността на проблема, този срок бива ревизиран до 12-ти.

Wiz Security споделят, че се наблюдава вълна от опортюонистични атаки към уязвимостта. Повечето от тях са насочени към изложени на Интернет Next.js приложения и други контейнеризирани натоварвания, работещи в средата на Kubernetes, както и менажирани клауд инстанции.

Cloudflare отбелязват, че огромна част от атаките, които те регистрират са насочени към организации в Япония, Виетнам, Япония и такива в Уйгурския автономен район на Китай. „Региони, които са често свързани с дейности, асоциирани с геополитически разузнавателни дейности“, пишат Cloudflare.

Kaspersky, от своя страна, пишат за регистрирани от тях 35 000 опити за атака само за ден. След профилиране на системата, атакуващите се опитват да инсталират криптоминьори и ботнети. Хакери включват в атаките си към React2Shell различни зловредни програми, бекдор компоненти, инструменти за отдалечено администриране и др.
По данни на The Shadowserver Foundation, към 11.12.2025, е имало над 137 000 интернет адреса, използващи уязвим код. От тях най-много са в САЩ. Следват Германия, Франция и Индия.

По всичко изглежда, че React2Shell ще се превърне в киберзащитната тема на 2025 и ще продължи през следващата година. Предвид уязвимите платформи, успешните атаки към React2Shell могат да станат повод за атаки към веригите за доставка. И по този начин да засегнат, ако не милиони, то стотици хиляди с едва няколко похитени приложения.