React2Shell: più di 160.000 indirizzi IP vulnerabili, oltre 30 organizzazioni già colpite

React2Shell, una vulnerabilità di React che consente l’esecuzione di codice da remoto, è già stata sfruttata dagli attaccanti per colpire più di 30 organizzazionidi diversi settori.

La vulnerabilità (CVE-2025-55182), scoperta dal ricercatore di sicurezza Lachlan Davidson, è stata resa nota lo scorso 3 dicembre. Il bug consente a un attaccante di “eseguire codice da remoto senza autenticazionesfruttando un errore nel modo in cui React decodifica i payload inviati agli endpoint di React Server Function“, come si legge nel blog della compagnia.

Il giorno dopo, il 4 dicembre, il ricercatore Maple3142 ha condiviso su X una PoC per dimostrare l’efficacia degli attacchi che sfruttano React2Shell contro i server React vulnerabili.

A distanza di qualche giorno, l’impatto di React2Shell appare preoccupante: secondo i dati condivisi e aggiornati quotidianamente dal gruppo ShadowServer, a oggi sono 165.712 gli indirizzi IP vulnerabili, un numero che negli scorsi giorni ha continuato ad aumentare. Stando alla mappa della distribuzione geografica degli IP, gli Stati Uniti contano la maggior parte degli indirizzi IP vulnerabili a livello globale.

Come riporta anche Bleeping Computer, da quando la vulnerabilità è stata resa nota numerosi ricercatori e compagnie di sicurezza hanno segnalato uno sfruttamento piuttosto diffuso del bug.

Secondo i report condivisi, gli attaccanti sfruttano la vulnerabilità per eseguire una prima ricognizione sui server; in seguito, tentano di sottrarre file di configurazione e credenziali AWS ed eseguono comandi arbitrari. Durante queste intrusioni, gli attaccanti hanno distribuito malware qualiSnowlight e Vshell, una backdoor comunemente usata dai cyberattaccanti cinesi per muoversi lateralmente nelle reti compromesse.

I ricercatori hanno collegato agli attacchi gruppi APT cinesi come Earth Lamia, Jackpot Panda e UNC5174, un gruppo che sembrerebbe essere legato al Ministero della Sicurezza dello Stato cinese.

Per proteggersi dalla vulnerabilità, gli sviluppatori devono aggiornare React all’ultima versione ed effettuare di nuovo build e deploy delle applicazioni. La CISA ha richiesto alle agenzie federali di applicare le patch entro il 26 dicembre.