Le 3 décembre 2025, une vulnérabilité critique baptisée React2Shell (CVE-2025-55182) a été rendue publique dans le module React Server Components (RSC), utilisé largement dans les applications web modernes basées sur Next.js ou d’autres frameworks JavaScript populaires. Moins d’une semaine après son annonce, des campagnes d’exploitation massives ont été observées — attaquants opportunistes, groupes liés à des États, bots automatisés : tous exploitent cette faille pour lancer des attaques de type Remote Code Execution (RCE).
Rappel du détail de la faille : pourquoi React2Shell est si dangereux
- React2Shell exploite une désérialisation non sécurisée dans le protocole “Flight” des React Server Components — un attaquant non authentifié peut envoyer une requête HTTP mal formée vers un endpoint vulnérable et déclencher l’exécution de code arbitraire sur le serveur.
- La vulnérabilité touche les versions 19.0.0, 19.1.x, 19.2.0 des packages
react-server-dom-webpack,react-server-dom-parcel,react-server-dom-turbopack. De même, des applications Next.js utilisant ces modules ou des frameworks connexes sont concernées. - Aucune configuration spéciale n’est requise : une installation standard, créée avec
create-next-app, déployée en production, peut être vulnérable dès sa mise en ligne.
Exploitation active & portée massive
- Dans les heures suivant la publication du correctif, des groupes liés à la Chine (APT) — notamment Earth Lamia et Jackpot Panda — ont commencé à exploiter React2Shell pour lancer des campagnes malveillantes (minage, vol de credentials, backdoors).
- Les chercheurs de sécurité ont constaté des “exploit attempts” actifs contre des serveurs Next.js exposés, des environnements cloud natives, des workloads Kubernetes, etc. Certains signes de post-exploitation — exfiltration, tunnels, backdoors — ont déjà été relevés.
- Selon une étude, des centaines de milliers de serveurs dans le monde pourraient être vulnérables, ce qui fait de React2Shell un risque global pour l’écosystème web.
Que faire, urgemment, pour se protéger ?
| Action | Pourquoi c’est critique |
|---|---|
| Mettre à jour immédiatement React / Next.js vers une version corrigée (React 19.0.1+, Next.js version patchée) | Les correctifs sont publiés — c’est la seule protection fiable contre RCE. |
| Auditer toutes les applications exposées à Internet utilisant React Server Components ou Next.js | Même les apps standard sont vulnérables — il faut identifier toutes les cibles. |
| Mettre en place un WAF ou des règles de filtrage pour bloquer les requêtes malformées / suspectes | Permet de réduire les risques en attendant le patch. |
| Surveiller les logs, processus, exfiltration, comportements anormaux — pour détecter des tentatives d’exploitation ou des compromissions | Une attaque réussie peut conduire à vol de données, backdoor, intrusion persistante. |
À retenir : un appel à la vigilance pour développeurs & entreprises
React2Shell rappelle combien les frameworks modernes, par leur popularité et leur adoption massive, peuvent devenir un point de rupture critique : une faille dans un module très utilisé suffit pour menacer des milliers — voire des millions — de sites web. Plus qu’un bug, c’est un risque systémique pour l’écosystème web.
Si votre infrastructure utilise React, Next.js, ou tout framework reposant sur React Server Components, ne repoussez aucune mise à jour. En cybersécurité, la réactivité fait la différence entre un correctif et une compromission.
