Vulnerabilidade crítica em React Server Components

React2Shell (CVE-2025-55182): uma vulnerabilidade crítica em React Server Components e o risco global para aplicações web

Recentemente, pesquisadores de segurança divulgaram uma vulnerabilidade de gravidade máxima no ecossistema React Server Components (RSC) — a funcionalidade avançada do React que permite executar partes de lógica no servidor de forma eficiente. A falha, registrada como CVE-2025-55182 e apelidada de React2Shell, tem um score de CVSS 10.0, o nível mais crítico possível, pois permite que um atacante remoto e não autenticado execute código arbitrário no servidor afetado apenas enviando uma requisição HTTP maliciosa. Essa vulnerabilidade tem implicações profundas para milhões de aplicações web que dependem de React e frameworks associados, como Next.js. 

Neste artigo, analisamos em detalhes o problema, o cenário de exploração, o impacto técnico e as medidas que equipes de desenvolvimento e segurança devem adotar imediatamente para proteger seus sistemas e reduzir a superfície de ataque.

 

1. O que é a vulnerabilidade React2Shell (CVE-2025-55182)

A vulnerabilidade conhecida como React2Shell decorre de uma falha de desserialização insegura no protocolo Flight dos React Server Components (RSC) — um componente usado para integrar lógica de servidor com aplicações React modernas. Quando um endpoint de Server Function recebe um payload HTTP preparado de forma maliciosa, a desserialização inadequada permite que o código seja interpretado e executado no contexto do servidor, o que pode levar à execução remota de comandos e controle total da aplicação. 

O problema afeta várias bibliotecas de RSC nas versões:

  • react-server-dom-webpack

  • react-server-dom-parcel

  • react-server-dom-turbopack

nas versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0. Como muitos frameworks populares — incluindo Next.js, React Router, Vite e plugins de terceiros — dependem dessas bibliotecas, a vulnerabilidade se estende a um vasto ecossistema de aplicações web modernas. 

 

2. Por que essa falha é tão grave

2.1 Execução remota de código sem autenticação

O pior cenário de segurança em aplicações web é permitir que um atacante remoto execute código arbitrário no servidor sem autenticação. Isso ocorre quando o invasor pode enviar um único pedido HTTP mal-formado, que o servidor vulnerável processa de forma insegura, desencadeando a execução de código inesperado. Dependendo da lógica da aplicação e dos privilégios do ambiente, isso pode permitir:

  • acesso a dados sensíveis;

  • instalação de backdoors;

  • movimentação lateral na rede;

  • exfiltração de informações;

  • implantação de malware adicional, incluindo cryptominers ou ransomware. 

 

2.2 Exploração ativa em produção

Após a divulgação da vulnerabilidade e correções iniciais, pesquisadores e agentes maliciosos começaram a escanear a internet em busca de aplicações vulneráveis, com exploração ativa já documentada em vários setores. A facilidade de exploração e o fato de que não é necessário autenticação tornam essa falha especialmente perigosa em ambientes públicos e servidores expostos. 

 

3. Contexto técnico: como a falha funciona

3.1 RSC e o protocolo Flight

React Server Components permitem que uma aplicação React execute certas partes de sua lógica no servidor, retornando o resultado ao cliente como um conjunto de componentes pré-serializados. Esse protocolo, conhecido como Flight, depende da serialização e desserialização de objetos que representam funções, dados e componentes. Quando essa desserialização não valida adequadamente as entradas, um atacante pode injetar estruturas manipuladas que resultam em acesso a primitivas perigosas ou chamada de APIs internas que não deveriam ser acessíveis.

 

3.2 Caminho da exploração

Uma requisição HTTP maliciosa enviada a um endpoint de Server Function pode, por meio de desserialização insegura, continuar profundamente no código JavaScript do servidor, alcançando pontos como:

  • primitivas para execução de processos (por exemplo, child_process.execSync em Node.js);

  • módulos de acesso ao sistema de arquivos;

  • chaves de ambiente ou credenciais.

Essa cadeia de exploração é possível mesmo quando um desenvolvedor não definiu explicitamente endpoints de servidor em sua aplicação, já que frameworks como Next.js App Router podem incluir caminhos vulneráveis por padrão.

 

4. Exploradores e impacto real

Diversas análises de ameaças indicam que, após a divulgação, diversos grupos de ameaça já integraram verificações e explorações da falha em seus scanners automatizados, testando serviços expostos na internet. Isso significa que muitos servidores vulneráveis podem ser comprometidos em questão de horas após a descoberta de novas vulnerabilidades desse tipo. 

Além disso, há evidências de uso do React2Shell para entregar malwares adicionais, como backdoors (por exemplo, PeerBlight), proxies reversos (CowTunnel) e ferramentas de pós-exploração (ZinFoq), ampliando a amplitude dos ataques. 

 

5. Medidas urgentes de mitigação e resposta

5.1 Atualização imediata dos pacotes

A forma mais eficaz de mitigar o risco é atualizar todas as bibliotecas afetadas para as versões corrigidas:

  • react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack para 19.0.1, 19.1.2 ou 19.2.1 (e posteriores). 

Da mesma forma, ambientes que usam Next.js, React Router, Vite RSC plugins ou outros frameworks que integram React Server Components devem ser atualizados para versões que incorporem correções de segurança.

 

5.2 Firewalls de aplicação (WAFs) e mitigação temporária

Enquanto updates permanentes são aplicados, organizações podem usar Web Application Firewalls (WAFs) com regras de proteção temporária para bloquear requisições maliciosas que correspondam a padrões de exploit conhecidos. 

 

5.3 Monitoramento e detecção de anomalias

Ferramentas de SIEM e EDR devem ser configuradas para detectar padrões de tráfego incomuns ou comportamentos que indiquem exploração de RCE — como uploads inesperados de artefatos suspeitos, shells reversos ou conexões out-of-band.

 

5.4 Hardenização de endpoints e segmentação de rede

Servidores que executam aplicações React expostas devem estar protegidos por segmentação de rede, controle de acesso rigoroso e políticas de mínimo privilégio, reduzindo a janela de oportunidade para ações maliciosas mesmo após uma violação inicial.

 

Conclusão

A descoberta e exploração ativa da vulnerabilidade React2Shell (CVE-2025-55182) no ecossistema React Server Components é um período crítico para a segurança de aplicações web modernas. Permitir que um atacante remoto execute código arbitrário sem autenticação representa um dos mais graves riscos que uma plataforma pode enfrentar, especialmente quando afeta um conjunto de bibliotecas amplamente adotadas como React e frameworks como Next.js. 

A combinação de falha técnica (desserialização insegura), facilidade de exploração e ampla adoção da tecnologia torna essa vulnerabilidade um caso emblemático de como dependências de código aberto podem impactar milhares de organizações simultaneamente. As equipes de desenvolvimento e de segurança devem aplicar atualizações imediatas, reforçar monitoramento e detecção de anomalias, e implementar políticas de mitigação em camadas para defender suas aplicações. Somente com uma resposta coordenada e ágil é possível reduzir a superfície de ataque e evitar que falhas dessa magnitude causem violações significativas de dados ou comprometam infraestruturas inteiras.

 

Referência Bibliográfica