Mobile-Menu

Kritische React2Shell-Schwachstelle wird aktiv ausgenutzt CVE-2025-55182 öffnet React Server Components für Linux-Backdoors

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

Unit 42 beobachtet aktive Ausnutzung einer kritischen Remote Code Execution (RCE) in React Server Components. Angreifer platzieren Payloads per manipulierten HTTP-Requests und bauen nach dem Erstzugriff Reconnaissance, Web-Shells, Kryptominer und Linux-Backdoors nach. Patches existieren, Scanner laufen weiter.

Die Schwachstelle CVE-2025-55182 in React Server Components erlaubt Remote Code Execution und nachgelagerte Linux-Backdoors. React und Next.js liefern Fixes, die sofort ausgerollt werden sollten.(Bild: © Westlight - stock.adobe.com)
Die Schwachstelle CVE-2025-55182 in React Server Components erlaubt Remote Code Execution und nachgelagerte Linux-Backdoors. React und Next.js liefern Fixes, die sofort ausgerollt werden sollten.
(Bild: © Westlight - stock.adobe.com)

Unit 42 beschreibt eine breit laufende Ausnutzung einer kritischen Remote-Code-Execution in React Server Components mit der Kennung CVE-2025-55182. Die „React2Shell“ genannte Schwachstelle (Security-Insider hat darüber bereits am 9. Dezember 2025 berichtet) betrifft die Flight-Implementierung im react-server-Ökosystem und basiert auf unsicherer Deserialisierung. Ein speziell geformter HTTP-Request reicht für Codeausführung auf dem Server aus, ohne Authentifizierung und ohne Benutzerinteraktion. Neben React nennt Unit 42 Next.js als betroffene Implementierung, eine zunächst separat geführte Kennung CVE-2025-66478 gilt inzwischen als Duplikat.

React 19.0, 19.1 und 19.2 angreifbar

Die betroffenen Versionen umfassen React 19.0, 19.1 und 19.2 sowie Frameworks, die die Server-Component-Pakete nutzen. Unit 42 nennt als anfällige Pakete "react-server-dom-webpack", "react-server-dom-parcel" und "react-server-dom-turbopack" in den Versionen 19.0.0, 19.1.0, 19.1.1 und 19.2.0. Die Lücke wird als deterministische Logikschwäche eingeordnet.

Die Dynamik nach der Offenlegung am 03.12.2025 zeigt schnelles Umschalten von Scanning auf Post-Exploitation. Unit 42 sieht automatisierte Checks, die über triviale Rechenoperationen und Shell-Ausführung die Ausführbarkeit verifizieren. Dazu passen Kommandos nach dem Muster "/bin/sh -c echo $((288*288))" oder Windows-Varianten mit "powershell -c". Nach dem Treffer folgt häufig Reconnaissance über Base64-kodierte Befehle, die Systemtyp, Privilegien, Interfaces und DNS-Konfiguration abfragen und anschließend Credential-Dateien und Konfigurationspfade enumerieren.

Neuer Linux-Backdoor: KSwapDoor

Parallel laufen Versuche zur Installation zusätzlicher Remote-Access-Tooling, inklusive Reverse-Shells und Artefakten, die auf Cobalt-Strike-Infrastruktur hindeuten. Besondere Aufmerksamkeit erhält ein neuer Linux-Backdoor, den Unit 42 als KSwapDoor einordnet. Die Malware tarnt sich als Kernel-Swap-Daemon, nutzt starke Verschlüsselung für C2-Kommunikation und implementiert ein P2P-Mesh mit Multi-Hop-Routing.

In Cloud- und Container-Umgebungen hat Unit 42 Exploit-Versuche beobachtet, die über BusyBox-Tooling, runc-Aufrufe und Downloader-Pipelines laufen. Zielsysteme betrieben Container-Workloads inklusive Kubernetes, in denen anfällige React-Komponenten in Applikationsimages landen. Die Angreifer kombinieren dabei Reconnaissance und Payload-Staging in kurzer Folge, um aus öffentlich erreichbaren Endpunkten Zugriff auf interne Datenpfade zu gewinnen.

Für die Abhilfe setzt Unit 42 auf unmittelbares Patchen als zentrale Maßnahme. React erhält Fixes in 19.0.1, 19.1.2 und 19.2.1. Next.js nennt als korrigierte Releases 16.0.7, 15.5.7, 15.4.8, 15.3.6, 15.2.6, 15.1.9 und 15.0.5. Parallel empfiehlt sich ein Hunting auf Prozessketten, in denen node oder bun ungewöhnliche Child-Prozesse startet, die typische Post-Exploitation-Tools anstoßen, darunter "curl", "wget", "base64", "chmod", "nohup" oder Shell-Interpreter.

(ID:50663127)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte