24/7 Incident Response durch erfahrene Experten. Melden Sie sich jetzt – wir unterstützen Sie umgehend.
React2Shell (CVE-2025-55182 und CVE-2025-66478) ist eine pre-auth Remote-Code-Execution-Schwachstelle im Flight-Protokoll von React Server Components. Eine Ausnutzung kann zur vollständigen Kompromittierung der Server, Zugriff auf Secrets und zu Auswirkungen auf nachgelagerte Kunden- und Backend-Systeme führen.
CVE-2025-55182CVE-2025-66478React2Shell ist eine Schwachstelle in der Art und Weise, wie React Server Components Daten vom Client entgegennehmen und verarbeiten. Angreifer können speziell präparierte Flight-Payloads senden, die dazu führen, dass der Server interne Strukturen falsch interpretiert – bis hin zur Ausführung von Angreifer-Code auf dem Server.
Betroffen sind Anwendungen, die React Server Components in verwundbaren Versionen einsetzen – direkt oder über Frameworks wie Next.js (App Router), React Router mit RSC, Waku, RSC-Plugins für Parcel/Vite oder Redwood/Expo. Klassische „Client-only“-React-SPAs, die vollständig im Browser laufen und keinen RSC-Server nutzen, sind von diesem spezifischen Fehler nicht betroffen.
Die Schwachstelle ist ohne Authentifizierung aus der Ferne ausnutzbar, erhält einen CVSS-Score von 10.0 und betrifft ein weit verbreitetes Technologie-Ökosystem. Sicherheitsanbieter berichten über aktives Scanning und Exploit-Versuche, inklusive Aktivität von staatlich unterstützten Gruppen.
Ende November 2025
Verantwortungsvolle Meldung
Sicherheitsforscher Lachlan Davidson meldet dem React/Meta-Team eine kritische Schwachstelle im Flight-Protokoll von React Server Components.
3. Dezember 2025
Öffentliche Advisories & Patches
React veröffentlicht ein Advisory zu CVE-2025-55182; Next.js veröffentlicht ein eigenes Advisory zu CVE-2025-66478. Gepatchte Versionen der RSC-Pakete und von Next.js werden bereitgestellt.
Kurz nach der Offenlegung
Proof-of-Concepts & Scanning
Erste (teilweise fehlerhafte) PoCs erscheinen öffentlich. Sicherheitsanbieter beobachten automatisierte, internetweite Scans nach verwundbaren Next.js-/RSC-Anwendungen.
Folgende Tage
Ausnutzung in freier Wildbahn
Threat-Intelligence-Feeds berichten über „in-the-wild“-Exploits, inklusive Versuche durch APT-Gruppen sowie opportunistische Angriffe (z. B. Kryptomining, Backdoors).
Die eigentliche Schwachstelle liegt in den React-Serverbibliotheken, die das Flight-Protokoll implementieren:
react-server-dom-webpackreact-server-dom-parcelreact-server-dom-turbopackExplizit verwundbare Versionen
Gepatchte Versionen
Weitere React-19.x-Versionen, die nicht explizit als verwundbar oder gepatcht genannt werden, sollten gegen das aktuelle Advisory geprüft werden.
Klassische Client-only-React-Apps ohne RSC-Server sind von React2Shell selbst nicht betroffen, können jedoch andere Schwachstellen aufweisen.
Next.js integriert RSC-Funktionalität und stellt sie über den App Router und Server Actions bereit. Für viele Organisationen ist dies die relevanteste Angriffsfläche.
Verwundbare Releases (Auszug)
Gepatchte Releases (Auszug)
Auch mit gepatchten Next.js-Versionen sollte überprüft werden, ob Lockfiles und transitive Abhängigkeiten keine verwundbaren RSC-Pakete mehr referenzieren.
Über Next.js hinaus können alle Frameworks betroffen sein, die React Server Components oder das Flight-Protokoll verwenden, darunter:
In vielen SBOM-/SCA-Berichten tauchen diese Komponenten nur indirekt über React auf. Eine tiefere Analyse des Abhängigkeitsbaums ist daher empfehlenswert.
Die Schwachstelle basiert auf unsicherer Deserialisierung von Flight-Payloads im React-Server. RSC-Clients senden strukturierte Daten, die Komponentenbäume und Serverfunktionen beschreiben. Beim Dekodieren werden bestimmte Strukturen und Schlüssel nicht streng genug validiert. Angreifer können interne Objekte manipulieren und Codepfade erreichen, in denen angreiferkontrollierte Werte ausgeführt werden.
child_process.exec) statt der eigentlichen Schwachstelle.
Solche PoCs sollten nicht unreflektiert gegen Produktivsysteme eingesetzt werden.
Nicht zwingend. React2Shell betrifft primär React Server Components auf der Serverseite. Klassische SPAs, die vollständig im Browser laufen und keinen RSC-Server verwenden, sind von dieser spezifischen Schwachstelle nicht betroffen – auch wenn andere Risiken bestehen können.
Patching ist der wichtigste Schritt, aber nicht das Ende. Es sollte geprüft werden, ob die gepatchten Versionen überall ausgerollt wurden, ob es verdächtige Aktivität vor dem Patchen gab und ob unnötige RSC-Funktionalität exponiert war.
Ja. Sicherheitsanbieter berichten von automatisiertem Scanning und Exploit-Versuchen, auch durch bekannte APT-Gruppen. Organisationen mit internetexponierten Next.js-/RSC- Anwendungen sollten Log- und Telemetrie-Analysen priorisieren.
Wenn React Server Components aus dem Internet erreichbar sind, sollte React2Shell als höchste Priorität (P1) behandelt werden. In Umgebungen ohne RSC-Server ist die Priorität niedriger, dennoch sollte das Thema zeitnah im Rahmen des Patch-Managements adressiert werden.
Als spezialisiertes Sicherheitsteam unterstützen wir Organisationen dabei, React2Shell strukturiert und risikobasiert zu adressieren:
Auf Wunsch stellen wir leichte Skripte bereit, mit denen Kunden eigene Repositories und Deployments auf React2Shell-Exposure prüfen können (z. B. Versionschecks für React RSC & Next.js).