Next.js RCE 事件响应 — CVE-2025-55182

类型： 生产环境实时事件响应
漏洞： CVE-2025-55182 — React Server Components 不安全反序列化（RCE）
受影响系统： Next.js 前端 + 远程生产服务器
角色： 网络安全实习生 — SenseLive Technologies
日期： 2026年2月24–26日

---

事发经过

一次同步攻击同时针对前端应用和远程生产服务器。攻击利用了 CVE-2025-55182，这是 React Server Components (RSC) Flight 协议中的一个严重的未认证 RCE 漏洞，导致：

• 前端遭受恶意脚本注入和未授权重定向
• 服务器上出现未授权进程和文件系统修改
• 攻击后尝试凭证窃取

---

我的响应行动

前端

• 审计完整构建流水线，查找受污染资产
• 移除恶意注入内容，并从已验证的干净分支重新部署
• 将 Next.js 升级至 15.x/16.x 以缓解 CVE-2025-55182

服务器

• 终止未授权的活跃会话和后台进程
• 轮换 SSH 管理凭证
• 扫描持久化位置：/tmp、/var/www、cron 任务
• 检查后门和 Web Shell

事后处理

• 撰写正式的事后报告并提交给 CTO
• 建议轮换所有环境变量、数据库连接字符串和第三方 API 密钥的密钥
• 启动 24 小时高警惕监控窗口
• 提议进行完整的根因分析 (RCA)

---

CVE-2025-55182 — 技术概要

根因： 攻击者控制的数据通过 RSC 载荷反序列化逻辑影响服务器端执行。无需开发者更改代码即可成为易受攻击状态——标准的 create-next-app 生产构建也受影响。

---

关键收获

1. 默认框架配置并非安全配置
2. 脚本注入与服务器失陷同时发生，表明这是一次协调的自动化攻击活动
3. 凭证轮换在失陷后必须被视为强制性措施，而非可选
4. 修复后的监控窗口与修复本身同等重要

---

负责任披露说明

本报告经 SenseLive Technologies 授权以脱敏形式发布。根据负责任披露实践，具体漏洞利用载荷细节不予公开。所有响应行动均在 SenseLive Technologies 所属系统上执行，发生在实习期间。

---

展示的技能

事件响应 CVE 分析 RCE Next.js 安全 React Server Components 脚本注入 SSH 加固 凭证轮换 事后报告 服务器取证 持久化机制检测 负责任披露