{"id":319118,"date":"2025-12-09T13:23:08","date_gmt":"2025-12-09T12:23:08","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=319118"},"modified":"2025-12-09T15:23:29","modified_gmt":"2025-12-09T14:23:29","slug":"angriffe-auf-react-rce-schwachstelle-cve-2025-55182","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/12\/09\/angriffe-auf-react-rce-schwachstelle-cve-2025-55182\/","title":{"rendered":"Angriffe auf React RCE-Schwachstelle (CVE-2025-55182)"},"content":{"rendered":"

\"SicherheitIn den React Server Components gibt es eine kritische RCE-Schwachstelle (CVE-2025-55182) mit einem CVSS-Score von 10.0. Das ist seit einigen Tagen bekannt. Nun laufen massive Angriffswellen gegen verwundbare Webseiten und viele Firmenauftritte wurden bereits gehackt.<\/p>\n

<\/p>\n

React RCE-Schwachstelle (CVE-2025-55182)<\/h2>\n

\"\"React<\/a> ist eine JavaScript-Programmbibliothek zur Erstellung von webbasierten Benutzeroberfl\u00e4chen. Allerdings gibt es eine kritische\u00a0RCE-Schwachstelle (CVE-2025-55182<\/a>) in den React Server Components. Diese als React2Shell bezeichnete Schwachstelle erm\u00f6glicht eine nicht authentifizierte Remote-Codeausf\u00fchrung (RCE). Sicherheitsforscher von WIZ haben diese am 3. Dezember 2025 hier<\/a> offen gelegt.<\/p>\n

Vom React-Team gibt es ebenfalls den Beitrag Critical Security Vulnerability in React Server Components<\/a>. Ich hatte hier im Blog im Beitrag Kritische Schwachstelle in React (und Next.js)<\/a> \u00fcber diese Schwachstelle berichtet – scheint aber von den Abrufzahlen wenige Leser zu tangieren.<\/p>\n

Zahlreiche Webseiten angreifbar<\/h2>\n

Inzwischen gibt es eine React2Shell-Webseite<\/a> mit einer FAQ zu diesem Sachverhalt. Anbieter Censys schreibt, dass man 2,15 Millionen Webseiten gefunden habe, die per Web zugreifbar seien und Next.js oder React Server Components verwenden.<\/p>\n

\"\u00dcber<\/a><\/p>\n

Censys hat diesen Artikel<\/a> dazu ver\u00f6ffentlicht.\u00a0Allerdings muss man dazu sagen, dass nicht alle diese Webseiten auch angreifbar sind. Viele React Server Components werden durch die Provider bereits gesch\u00fctzt. Allerdings sind inzwischen Exploits verf\u00fcgbar und die Angriffe laufen.<\/p>\n

Es gibt einen in Python geschriebenen React2Shell-Scanner auf GitHub<\/a>, den man aber in einer eigenen Umgebung ausf\u00fchren muss. SearchLight Cyber hat in diesem Beitrag<\/a> einige Details rund um das Thema zusammen getragen.<\/p>\n

Anmerkung: Es gibt wohl eine Reihe Proof of Concepts (PoCs), die fehlerhaft sind. Und es gibt React2Shell-Scanner, die Malware enthalten.<\/p><\/blockquote>\n

Angriffe auf React Server Components<\/h2>\n

Zum 4. Dezember 2025 meldete AWS<\/a> bereits, dass es gezielte Angriffe auf Webseiten \u00fcber die React2Shell-Schwachstelle gebe. Auch Wiz meldet<\/a>, dass man eine rasante Ausbreitung der Ausnutzung von CVE-2025-55182 sehe, seit der vollst\u00e4ndige Proof-of-Concept-Exploit ver\u00f6ffentlicht wurde. Deren Sensoren haben mehrere Opfer identifiziert, die seit dem 5. Dezember 2025 um 6:00 Uhr UTC kompromittiert wurden, wobei vor allem internetbasierte Next.js-Anwendungen und Kubernetes-Container angegriffen wurden.<\/p>\n

\"React2Shell-Angriffe\"<\/p>\n

The Shadowserver Foundation hat gestern in obigem Tweet<\/a> auf die React2Shell-Angriffe hingewiesen. Auf X sind mir die Tage mehrere Tweets von Leuten, deren Webinstanzen gehackt wurden, untergekommen. Die Kollegen von Bleeping Computer haben im Beitrag\u00a0React2Shell flaw exploited to breach 30 orgs, 77k IP addresses vulnerable<\/a> einen Blick auf das Thema geworfen und berichten von 30 Organisationen, die gehackt wurden. Um die 77.000 IP-Adressen seien verwundbar, hei\u00dft es. In Deutschland sind 216 IP-Adressen in \u00dcbersichten, die ich gesehen habe, aufgef\u00fchrt.<\/p>\n

\"React2Shell<\/a><\/p>\n

In obigem Tweet<\/a> schreibt Germ\u00e1n Fern\u00e1ndez, dass ein Unbekannter verwundbare Webseiten patcht und eine entsprechende Warnung hinterl\u00e4sst. Die Technische Universit\u00e4t M\u00fcnchen wird in diesem Tweet mit genannt.<\/p>\n

\n
\n
\n
\n
\n
\n
<\/div>\n<\/div>\n<\/div>\n
\n
\n
<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

In den React Server Components gibt es eine kritische RCE-Schwachstelle (CVE-2025-55182) mit einem CVSS-Score von 10.0. Das ist seit einigen Tagen bekannt. Nun laufen massive Angriffswellen gegen verwundbare Webseiten und viele Firmenauftritte wurden bereits gehackt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459],"tags":[4328,3836],"class_list":["post-319118","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","tag-sicherheit","tag-software"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/319118","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=319118"}],"version-history":[{"count":4,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/319118\/revisions"}],"predecessor-version":[{"id":319129,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/319118\/revisions\/319129"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=319118"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=319118"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=319118"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}