Хакери компрометират десетки хиляди сървъри, използвайки популярни React фреймуърци за криптодобив и отдалечено изпълнение на код

Масово проникване и ботнет активност

Според изследователи по киберсигурност стотици вече компрометирани устройства с Next.js са засечени в honeypots, докато десетки хиляди сървъри остават уязвими към критичната React уязвимост CVE-2025-55182, известна като React2Shell.

Едуардо Боргес, дигитален предприемач, сподели как собствената му машина е била превзета:

„Сървърът ми вече не обслужваше приложението ми – вместо това копаеше криптовалута за някой друг!“

Според Боргес, зловредният софтуер е действал в рамките на Next.js контейнера, маскирайки се като nginx и Apache, за да изглежда като легитимен уеб сървър. Той проследил Monero адреса на атакуващите и открил 415 други „зомбита“ в ботнета, генериращи приблизително $4.26 на първия ден.

ShadowServer и нарастващи атаки

Фондацията ShadowServer отчита рязък скок на атаките: от обичайни около 100 IP-та до почти 1,000 активни IP-та миналия петък.

Пиотр Кижевски, CEO на ShadowServer:

„Наблюдаваме масови опити за експлоатиране на React CVE-2025-55182, включително чрез ботнетове.“

Киберновини съобщават, че китайски хакери вече са експлоатирали тази уязвимост, която засяга React Server Components (RCS) и позволява отдалечено изпълнение на код без автентикация.

Next.js – най-активната цел

Next.js е един от най-популярните React фреймуърци. В момента ботнетите, използващи Next.js, са най-активните атакуващи устройства, засечени от ShadowServer.

През уикенда броят на компрометираните сървъри намалява, вероятно защото администраторите са приложили актуализации и мерки за защита.

Към 7 декември са открити почти 29,000 публично достъпни IP-та, уязвими към React2Shell, спрямо 77,600 на 5 декември.

Експертна оценка: критична уязвимост

Кристоф Хартман, CTO и съосновател на Mondoo, предупреждава:

„Тази RCS уязвимост е изключително опасна – позволява изпълнение на код без автентикация, без нужда от потребителски имена, пароли или специални права.“

Тъй като React и Next.js захранват милиони уебсайтове и SaaS платформи, а уязвимостта засяга дефолтни конфигурации, площта на атака е огромна. Хартман допълва:

„Експлоатацията е тривиална, което прави тези CVE-та сред най-сериозните уязвимости на уеб фреймуърците в последните години.“