CVE-2025-55182 (React4Shell): критическая RSC-уязвимость CVSS 10.0

4 декабря 2025 года была обнародована критическая уязвимость CVE-2025-55182, неофициально получившая имя React4Shell. Оценка по системе CVSS равна 10.0, что указывает на максимальную критичность инцидента. Уязвимость затрагивает функциональность серверных компонентов React (RSC), используемую в веб‑приложениях на основе React framework.

Коротко о сути проблемы

Ошибка относится к классу CWE-502 — десериализация ненадежных данных. Эксплуатируя уязвимость, злоумышленник может выполнить произвольные команды на сервере и получить возможность читать и записывать файлы в каталогах, доступных веб‑приложению, под привилегиями процесса сервера. Такое повышение привилегий делает атаку особенно опасной и привлекательной для киберпреступников.

Технические детали

• Тип уязвимости: десериализация ненадежных данных (CWE-502).
• Место воздействия: серверные компоненты React (RSC), которые перераспределяют часть логики рендеринга на сервер.
• Возможности злоумышленника: удалённое выполнение команд (RCE), чтение/запись файлов в пределах доступных приложению директорий, повышение привилегий до уровня процесса сервера.
• Сложность эксплуатации: низкая — к быстрому распространению атак способствует наличие рабочей PoC (proof‑of‑concept).

Актуальная активность и тренды

«После раскрытия уязвимости произошло заметное увеличение числа попыток ее использования», — свидетельствуют данные, собранные с помощью Kaspersky honeypots.

Наблюдается быстрое нарастание активности злоумышленников по следующим причинам:

• высокая критичность (CVSS 10.0);
• простота эксплуатации и наличие PoC-кода;
• широкое распространение React и использование RSC в современных веб‑приложениях;
• возможность оперативного получения доступа с правами серверного процесса — это делает эксплойт привлекательным для распространения malware и кражи данных.

Кому угрожает в первую очередь

Наибольший риск несут веб‑приложения, использующие серверные компоненты React (RSC) без дополнительных мер защиты, а также инфраструктуры, в которых процесс приложения работает с повышенными привилегиями или имеет доступ к конфиденциальным файловым ресурсам.

Рекомендации по защите

Пока не известны конкретные патчи в рамках данного текста, рекомендованы общие защитные меры, позволяющие снизить риск успешной эксплуатации:

• при появлении официальных обновлений — немедленно установить патчи и обновить зависимости React/RSC;
• ограничить привилегии процесса приложения (принцип least privilege);
• изолировать приложение в контейнерах/песочницах и ограничить доступ к файловой системе и критичным ресурсам;
• внедрить контроль входных данных и безопасные механизмы десериализации — избегать десериализации данных из ненадежных источников;
• использовать WAF и фильтры на уровне сети для блокировки подозрительных запросов и известных сигнатур PoC‑эксплойтов;
• настроить мониторинг и логирование аномалий: отслеживание попыток выполнения команд, непредусмотренных операций с файлами и всплесков трафика;
• провести аудит кода и зависимостей на предмет использования уязвимых компонентов RSC.

Вывод

CVE-2025-55182 (React4Shell) представляет собой критическую угрозу для экосистемы веб‑приложений на базе React, особенно тех, которые используют server components (RSC). Высокая оценка по CVSS, класс уязвимости CWE-502, наличие PoC и подтверждённые инциденты в honeypots делают ситуацию требующей немедленного внимания со стороны разработчиков и операторов. Приоритетные шаги — мониторинг официальных обновлений, ограничение привилегий процессов и внедрение мер по предотвращению небезопасной десериализации.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.