### Frameworks concernés

| Framework / Outil           | Portée concernée                                     |
|----------------------------|----------------------------------------------------|
| **Next.js 15.x – 16.x**    | App Router uniquement — Pages Router n'est **PAS** concerné |
| **React Router RSC**       | Canal instable / de prévisualisation uniquement                    |
| **Redwood SDK**            | Mode RSC uniquement                                      |
| **Waku**                   | Toutes les versions avec RSC activé                      |
| **Expo**                   | Builds de prévisualisation RSC uniquement                            |
| **Vite RSC Plugin**        | Toutes les intégrations                                   |
| **Parcel RSC Plugin**      | Toutes les intégrations                                   |
| **Toute configuration RSC personnalisée**   | Tout serveur utilisant la désérialisation Flight RSC        |

> ⚠️ **Important :** Vous êtes vulnérable même si vous n'utilisez pas explicitement les Server Actions ou les Server Functions — tant que les composants serveur React sont activés dans votre application.

> ✅ **Non concerné :** Applications utilisant uniquement le Pages Router, ou applications sans React côté serveur du tout.

---

## Pourquoi est-ce si dangereux ?

Trois raisons rendent React2Shell exceptionnellement grave :

1. **Aucune authentification requise.** N'importe qui sur internet peut tenter cette attaque. Pas de compte, pas de jeton, aucun accès préalable nécessaire.

2. **Fonctionne sur les installations par défaut.** Une toute nouvelle application Next.js créée avec `create-next-app` — sans aucune configuration personnalisée — est immédiatement exploitable. Les développeurs n'ont rien à faire de mal pour être vulnérables.

3. **Fiabilité proche de 100 %.** Les chercheurs en sécurité ont confirmé que l'exploit fonctionne presque à chaque fois contre les serveurs non patchés.

---

## Comment fonctionne l'attaque ?

### La cause profonde — En termes simples

Lorsque votre serveur React reçoit des données d'un client, il les traite (désérialise) pour comprendre quoi faire ensuite. Le problème est que React **ne vérifie jamais si ces données sont sûres ou légitimes** — il fait aveuglément confiance à tout ce qui arrive.

Un attaquant exploite cela en envoyant des données spécialement conçues qui détournent le comportement JavaScript interne du serveur, lui permettant finalement d'injecter et d'exécuter son propre code.

### Explication technique

L'exploit utilise une technique appelée **pollution de prototype** :

1. L'attaquant envoie une requête HTTP POST élaborée à n'importe quel point de terminaison RSC (aucune URL spéciale nécessaire).
2. Le parseur du protocole React Flight traite la charge utile sans aucune validation structurelle.
3. La charge utile malveillante pollue `Object.prototype.then` — un objet JavaScript fondamental dont tous les autres objets héritent.
4. Cela donne à l'attaquant accès au constructeur `Function` de JavaScript.
5. L'attaquant utilise le constructeur `Function` pour exécuter du code arbitraire en tant que processus du serveur Node.js.```
Step 1 — Attacker sends crafted HTTP POST
         ↓
Step 2 — React deserializes payload blindly
         ↓
Step 3 — Object.prototype.then is hijacked (prototype pollution)
         ↓
Step 4 — Function constructor is accessed
         ↓
Step 5 — Attacker's code runs on the server
         ↓
Step 6 — Attacker has full server control

// ❌ NO validation — the server trusts whatever arrives
const decoded = dangerousDeserialize(flight);  // Attack happens here

// If the attacker controls decoded.action → RCE
return executeServerReference(decoded.action);

### À quoi ressemble l'attaque```http
POST /?flight=1 HTTP/1.1
Content-Type: text/plain

{
  "status": "resolved_model",
  "$1:__proto__:then": "node:process.mainModule.require('child_process').execSync('id > /tmp/rce')",
  "_formData.get": "$1:constructor:constructor"
}

> 🚫 **Avertissement légal :** N'utilisez pas cet outil contre un système dont vous n'êtes pas propriétaire ou pour lequel vous ne possédez pas une autorisation écrite explicite de test.

---

## Versions corrigées — Mettez à jour maintenant

### Paquets React RSC

| Paquet                      | Version corrigée             |
|------------------------------|------------------------------|
| `react-server-dom-webpack`   | 19.0.1, 19.1.2, **19.2.1+** |
| `react-server-dom-parcel`    | 19.0.1, 19.1.2, **19.2.1+** |
| `react-server-dom-turbopack` | 19.0.1, 19.1.2, **19.2.1+** |

> 💡 **Recommandation :** Mettez à jour vers la version **19.2.3** pour également corriger les vulnérabilités connexes (CVE-2025-55183, CVE-2025-55184, CVE-2025-67779).

### Next.js

| Votre version | Mettez à jour vers  |
|--------------|-------------|
| 13.x / 14.x  | **14.2.35** |
| 15.0.x       | **15.0.5**  |
| 15.1.x       | **15.1.9**  |
| 15.2.x       | **15.2.6**  |
| 15.3.x       | **15.3.6**  |
| 15.4.x       | **15.4.8**  |
| 15.5.x       | **15.5.7**  |
| 16.0.x       | **16.0.7**  |

---

## Comment vous protéger — Étape par étape

Suivez ces étapes **dans l'ordre**. Les étapes 1 et 2 sont obligatoires. Les autres ajoutent des couches de défense supplémentaires.

### Étape 1 — Mettez à jour les paquets React (le plus important)```bash
# Check your current version
npm list react-server-dom-webpack

# Upgrade to the latest patched version
npm install react-server-dom-webpack@latest
npm install react-server-dom-parcel@latest
npm install react-server-dom-turbopack@latest

### Étape 3 — Ajouter une protection WAF (défense en profondeur)

| Fournisseur cloud       | Action requise                                                                           |
|-------------------------|------------------------------------------------------------------------------------------|
| **AWS WAF**             | Activer `AWSManagedRulesKnownBadInputsRuleSet` v1.24+ — Les règles React2Shell sont incluses |
| **AWS Network Firewall**| Activer les règles gérées Active Threat Defense (mise à jour automatique via MadPot)    |
| **Google Cloud Armor**  | Déployer l'ensemble de règles React2Shell depuis la console                              |
| **Cloudflare**          | Règle WAF `react2shell-cve-2025-55182` — appliquée automatiquement pour les plans Pro+  |

> ⚠️ **Les règles WAF seules ne suffisent pas.** Elles ne peuvent pas bloquer toutes les variantes de payload. Corriger vos packages est le seul correctif complet.

### Étape 4 — Si vous ne pouvez pas corriger immédiatement

- Désactiver temporairement les **points de terminaison RSC Flight** sur votre serveur.
- Cela réduit votre surface d'attaque jusqu'à ce que vous puissiez appliquer le correctif.

### Étape 5 — Vérifier si vous avez déjà été attaqué

- **Auditez vos journaux serveur** à la recherche de requêtes POST suspectes vers les points de terminaison RSC/flight avant votre date de correctif.
- Recherchez des connexions sortantes inhabituelles, de nouveaux comptes utilisateur ou des processus inattendus.

### Étape 6 — Précaution en cas de compromission présumée

- **Renouvelez tous les secrets** — clés API, identifiants de base de données, jetons de session, variables d'environnement.
- Considérez tout serveur ayant exécuté une version vulnérable comme potentiellement compromis.

---

## Activité d'attaque réelle

### Échelle (En avril 2026)

| Métrique                          | Chiffre                              |
|-----------------------------------|--------------------------------------|
| Total des sessions d'attaque      | **8,1 millions+** (GreyNoise)        |
| Volume d'attaque quotidien        | **300 000 – 400 000** requêtes/jour  |
| Volume quotidien maximal          | **430 000+** (fin décembre 2025)     |
| Adresses IP d'attaquants uniques  | **8 163** dans 101 pays              |
| Délai avant première infection    | **2 minutes** après exposition du serveur |

AWS à elle seule représente plus d'un tiers de l'infrastructure d'attaque observée — ce qui signifie que les attaquants opèrent principalement depuis des serveurs hébergés dans le cloud pour mener ces attaques à grande échelle.

### Qui attaque ?

Plusieurs groupes d'acteurs de menace distincts ont été confirmés en train d'exploiter cette vulnérabilité :

**China-nexus (State-sponsored)**
- **Earth Lamia** (également suivie sous le nom UNC5454 par Google) — liée au Ministère de la Sécurité d'État chinois (MSS)
- **Jackpot Panda** — identifié par les équipes de renseignement sur les menaces d'AWS et de Google
- Mène également une exploitation parallèle d'autres vulnérabilités récentes simultanément

**Iran-nexus**
- Acteurs affiliés à l'Iran observés par Google GTIG en décembre 2025

**North Korea (DPRK)** ⚠️ *Nouveau — janvier 2026*
- Indicateurs liés à la campagne **Contagious Interview** (une opération nord-coréenne de longue date qui cible les développeurs de logiciels)
- Déploient **EtherRAT** — une nouvelle porte dérobée qui utilise une **infrastructure de commande et contrôle basée sur la blockchain**, ce qui la rend très difficile à bloquer avec le blocage standard d'IP/domaine

**Cybercriminels / Motivés financièrement**
- Des opérateurs de ransomware ont été confirmés utilisant React2Shell pour un accès initial ⚠️ *Nouveau — décembre 2026*
- Au moins un cas documenté où un ransomware a été déployé **en moins d'une minute** après l'exploitation initiale
- Minage de cryptomonnaies (XMRig) largement déployé dans des campagnes opportunistes

### Malware observé dans la nature

| Malware / Outil                    | Ce qu'il fait              | Qui l'utilise                      |
|------------------------------------|----------------------------|------------------------------------|
| SNOWLIGHT                          | Télécharge d'autres malwares | Earth Lamia (China)               |
| MINOCAT                            | Crée des tunnels cachés    | Earth Lamia (China)               |
| HISONIC                            | Porte dérobée pour persistance | Earth Lamia (China)             |
| COMPOOD                            | Survit aux redémarrages    | Earth Lamia (China)               |
| **EtherRAT** ⚠️ *Nouveau*        | Porte dérobée C2 basée sur blockchain | DPRK / Contagious Interview |
| XMRig                              | Mine des cryptomonnaies    | Plusieurs groupes                 |
| Cobalt Strike                      | Framework de contrôle à distance | campagnes "emerald" et "nuts" |
| Sliver / Nezha                     | Frameworks C2              | campagne "emerald"                |
| Fast Reverse Proxy (FRP)           | Tunneling réseau           | Plusieurs groupes                 |
| Secret-Hunter                      | Vole des identifiants      | campagne "nuts"                   |
| Mirai / Rondo botnets              | DDoS / persistance         | Acteurs opportunistes             |
| MeshAgent (RMM tool)               | Gestion à distance         | Plusieurs groupes (persistance)   |
| **In-memory Next.js web shell** ⚠️ *Nouveau* | Persistance furtive | Plusieurs acteurs (confirmé par GTIG) |

> 💡 **Qu'est-ce qu'un web shell en mémoire ?** C'est une porte dérobée qui s'exécute entièrement dans la mémoire du serveur — ne laissant aucun fichier sur le disque, ce qui la rend extrêmement difficile à détecter avec les antivirus ou outils d'analyse de fichiers standard.

> 💡 **Qu'est-ce que le C2 basé sur blockchain ?** Au lieu de se connecter aux serveurs attaquants via des adresses IP ou domaines normaux (qui peuvent être bloqués), EtherRAT reçoit ses commandes à partir de transactions blockchain — un système décentralisé qui ne peut pas être facilement neutralisé ou bloqué.

---

## Outils de détection

### Microsoft Defender for Cloud
Deux modèles dédiés sont disponibles dans la galerie de l'explorateur de sécurité :
- *Conteneurs exposés à Internet exécutant des images de conteneurs vulnérables à React2Shell — CVE-2025-55182*
- *Machines virtuelles exposées à Internet vulnérables à React2Shell — CVE-2025-55182*

Microsoft Security Exposure Management cartographie également automatiquement les chemins d'attaque React2Shell sur votre infrastructure cloud.

### GreyNoise
Un modèle de blocage prêt à l'emploi est disponible : **Tentative d'exécution de code à distance (RCE) par désérialisation non sécurisée des composants serveur React CVE-2025-55182**

Les ensembles complets d'empreintes d'attaquants (ASN, JA4T, JA4H) sont disponibles publiquement :```
github.com/GreyNoise-Intelligence/gn-research-supplemental-data/tree/main/2026-01-06-react2shell

---

## Références

| Source                          | Lien                                                                                          |
|---------------------------------|-----------------------------------------------------------------------------------------------|
| Avis officiel de React          | https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components  |
| React2Shell (découvreur)        | https://react2shell.com                                                                       |
| Avis de Next.js                 | https://nextjs.org/blog/CVE-2025-66478                                                        |
| Analyse approfondie de Wiz      | https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182                        |
| Blog sécurité Microsoft         | https://www.microsoft.com/en-us/security/blog/2025/12/15/defending-against-the-cve-2025-55182-react2shell-vulnerability-in-react-server-components/ |
| Renseignement sur les menaces Google | https://cloud.google.com/blog/topics/threat-intelligence/threat-actors-exploit-react2shell-cve-2025-55182 |
| Bulletin de sécurité AWS        | https://aws.amazon.com/security/security-bulletins/AWS-2025-030/                              |
| Attribution Chine-Nexus par AWS  | https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/ |
| Palo Alto Unit 42               | https://unit42.paloaltonetworks.com/cve-2025-55182-react-and-cve-2025-66478-next/             |
| Recherche Trend Micro           | https://www.trendmicro.com/en_us/research/25/l/CVE-2025-55182-analysis-poc-itw.html           |
| Grille d'observation GreyNoise  | https://www.greynoise.io/blog/cve-2025-55182-react2shell-opportunistic-exploitation-in-the-wild-what-the-greynoise-observation-grid-is-seeing-so-far |
| Analyse Darktrace               | https://www.darktrace.com/blog/react2shell-how-opportunist-attackers-exploited-cve-2025-55182-within-hours |
| Avis Dynatrace                  | https://www.dynatrace.com/news/blog/cve-2025-55182-react2shell-critical-vulnerability-what-it-is-and-what-to-do/ |
| BleepingComputer — Rançongiciel | https://www.bleepingcomputer.com/news/security/critical-react2shell-flaw-exploited-in-ransomware-attacks/ |
| IronGate — Activité RPDC        | https://www.irongatesecurity.com/ironintel/react2shell-cve-2025-55182                         |
| Entrée NVD                      | https://nvd.nist.gov/vuln/detail/CVE-2025-55182                                               |

---


**Crédit de la vulnérabilité :**
Découverte initiale et divulgation responsable par **Lachlan Davidson** (29 novembre 2025).

---

*Dernière mise à jour : 16 avril 2026*
*Ce document est destiné uniquement à des fins éducatives et de sécurité défensive.*