React2Shell: פרצה קריטית ב-React מאפשרת להריץ קוד על שרתים, ותוקפים כבר ניצלו אותה

ב-3 בדצמבר 2025 חשף צוות React את React2Shell, פרצה קריטית שמאפשרת להריץ קוד על שרת בלי הזדהות. היא רשומה כ-CVE-2025-55182, והציון שלה ב-CVSS הוא 10.0, המקסימום. לפי AWS, קבוצות תקיפה החלו לנסות אותה בתוך שעות מהפרסום.

איך React2Shell עובדת, ואילו גרסאות פגיעות

הבעיה היא באופן שבו React מפענחת הודעות שמגיעות לנקודות הקצה של Server Functions. תוקף יכול לשלוח לנקודה כזאת בקשת HTTP שהוכנה מראש. כשהשרת מפענח אותה, התוקף מקבל הרצת קוד. הוא לא צריך שם משתמש או סיסמה.

הפגיעות הן גרסאות 19.0, 19.1.0, 19.1.1 ו-19.2.0 של שלוש חבילות. התיקון הגיע בגרסאות 19.0.1, 19.1.2 ו-19.2.1.

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

גם מסגרות עבודה שמסתמכות על החבילות האלה חשופות. צוות React מונה את next, react-router, waku, @parcel/rsc, @vitejs/plugin-rsc ו-rwsdk.

לפי הצוות, אין צורך להגדיר Server Functions כדי להיות בסיכון. אפליקציה שתומכת ב-React Server Components עלולה להיות פגיעה גם בלי נקודות קצה כאלה. הסיכון לא חל על קוד שלא רץ על שרת. הוא גם לא חל על מי שאינו משתמש במסגרת עבודה עם תמיכה ב-RSC.

Next.js: מי חשוף ואילו גרסאות מתוקנות

Next.js פרסמה ייעוץ משלה, תחת המזהה CVE-2025-66478. לפי הייעוץ, הפרצה חלה על אפליקציות עם App Router בגרסאות 15.x ו-16.x. היא חלה גם על גרסאות קנארי מ-14.3.0-canary.77 ואילך.

גרסאות 13.x ו-14.x יציבות, אפליקציות עם Pages Router ו-Edge Runtime אינן בסיכון. הגרסאות המתוקנות הן 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 ו-16.0.7. Next.js מדגישה שאין פתרון עוקף, ולכן חייבים לעדכן.

ב-6 בדצמבר הוסיפה Next.js המלצה נוספת. אם האפליקציה הייתה אונליין ולא מעודכנת ב-4 בדצמבר בשעה 13:00 שעון חוף האוקיינוס השקט, כדאי להחליף את הסודות שבהם היא משתמשת. כדאי להתחיל מהקריטיים ביותר.

תוקפים ניצלו את React2Shell בתוך שעות

ב-4 בדצמבר פרסמה AWS שקבוצות Earth Lamia ו-Jackpot Panda, שתיהן עם זיקה לסין, ניסו לנצל את הפרצה. לפי AWS, הניסיונות החלו בתוך שעות מהפרסום. כתובת אחת שלחה 116 בקשות במשך 52 דקות, ניסתה להריץ את הפקודות whoami ו-id וניסתה לקרוא את הקובץ /etc/passwd.

AWS מציינת שרבים מקודי הניצול הציבוריים לא עבדו. התוקפים השתמשו בהם בכל זאת, ונשענו על הכמות. ב-5 בדצמבר הוסיפה CISA את CVE-2025-55182 לקטלוג החולשות המנוצלות בפועל.

חברת Wiz הציגה את ההיקף. לפי הנתונים שלה, ב-39% מסביבות הענן יש גרסאות פגיעות של React או Next.js. Wiz מדווחת על גניבת אישורי גישה ועל לפחות שישה מקרים של כריית מטבעות, והראשון שבהם ב-5 בדצמבר בשעה 06:00 UTC.

עוד ב-GEEKLIK: Adobe ColdFusion: פרצה בדרגה 10 מנוצלת בפועל, ו-CISA מוסיפה אותה ל-KEV

מה קרה מאז

עמוד הייעוץ של React עודכן מאז. הוא מוסיף חולשות DoS וחשיפת קוד מקור (CVE-2025-55184, CVE-2025-67779 ו-CVE-2025-55183), וחולשת DoS נוספת מ-26 בינואר 2026 (CVE-2026-23864). לכן עדיף לעדכן לגרסה העדכנית בקו שלכם ולא להסתפק בתיקון מ-3 בדצמבר.