CVE-2025-55182 (React2Shell): Vulnerabilità Critica in React Server Components

Cos’è successo

Il 3 dicembre 2025, React ha divulgato e corretto una vulnerabilità di sicurezza critica denominata React2Shell (CVE-2025-55182), che potrebbe permettere a un attaccante di eseguire codice da remoto su server che utilizzano React Server Components.

Dettagli della vulnerabilità

Gravità e impatto

• Punteggio CVSS: 10/10 (critico)
• Tipo: Deserializzazione non sicura
• Attacco: Esecuzione di codice remoto non autenticato (RCE)
• Modalità: Invio di richieste HTTP manipolate agli endpoint React Server Functions

Prodotti vulnerabili

Pacchetti React interessati:

• react-server-dom-webpack (versioni 19.0, 19.1.0, 19.1.1, 19.2.0)
• react-server-dom-parcel (versioni 19.0, 19.1.0, 19.1.1, 19.2.0)
• react-server-dom-turbopack (versioni 19.0, 19.1.0, 19.1.1, 19.2.0)

Next.js versioni colpite:

• Versione 14.3.0-canary.77
• Versioni precedenti alla 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

Altri framework potenzialmente vulnerabili:

• Vite RSC plugin
• Parcel RSC plugin
• React Router RSC preview
• RedwoodSDK
• Waku

Sfruttamento attivo

Subito dopo la divulgazione, sono stati pubblicati diversi Proof-of-Concept e gli attaccanti hanno iniziato a sfruttare attivamente la vulnerabilità.

Attività malevole osservate

• Esecuzione di comandi di riconoscimento (whoami, uname, hostname)
• Installazione di reverse shell
• Furto di credenziali e secret dai file di configurazione
• Distribuzione di malware (Snowlight, Vshell, EtherRAT)
• Mining di criptovalute

Attori coinvolti

Ricercatori di sicurezza hanno identificato attacchi attribuiti a gruppi APT legati a Cina e Corea del Nord, tra cui:

• CL-STA-1015
• Earth Lamia
• Jackpot Panda
• BeaverTail (campagna “Contagious Interview”)

Entità del problema

FTI Consulting ha identificato oltre 67.000 istanze vulnerabili di React.js o Next.js in tutto il mondo al momento della pubblicazione del report.

Come proteggersi

Azioni immediate

1. Aggiornare immediatamente i pacchetti vulnerabili alle versioni corrette
2. Verificare i log dei server web per richieste sospette contenenti:
   • Header next-action o rsc-action-id
   • Pattern $@ o "status":"resolved_model" nel corpo delle richieste
3. Controllare i server per tracce di esecuzione di comandi sospetti
4. Monitorare file inattesi in /tmp/ o modifiche a /etc/passwd

Nota importante su Cloudflare

Il 5 dicembre 2025, Cloudflare ha subito un breve disservizio causato dal tentativo di implementare misure di mitigazione per questa vulnerabilità. Sebbene Cloudflare offra protezione tramite WAF, la mitigazione a livello di firewall non è sufficiente: è necessario applicare le patch e verificare l’esposizione degli endpoint vulnerabili.

Fonti e riferimenti

• React Security Bulletin – Annuncio ufficiale della vulnerabilità
• FTI Consulting Vulnerability Alert Bulletin – Versione 1.1 (10 dicembre 2025)
• CVE-2025-55182 – Identificativo ufficiale della vulnerabilità

Ultimo aggiornamento: 10 dicembre 2025
Classificazione: TLP:AMBER – Informazioni da condividere con cautela

Per assistenza nella verifica o nella mitigazione della vulnerabilità sui vostri sistemi, contattateci.