React2Shell (CVE-2025-55182): RCE in React Server Components & Next.js – Betroffenheit prüfen & Sofortmaßnahmen

React2Shell (CVE-2025-55182) ist eine kritische Remote-Code-Execution-Schwachstelle in React Server Components und insbesondere in Next.js-App-Router-Setups. Ein einziger, speziell präparierter HTTP-Request kann ausreichen, um beliebigen Code auf Ihrem Server auszuführen – ohne Login, ohne Benutzerinteraktion.

Dieser Beitrag ist für Teams gedacht, die schnell entscheiden müssen: Bin ich betroffen? Und wenn ja: Was muss ich heute tun? Sie bekommen eine klare Betroffenheitsprüfung, Sofortmaßnahmen (Patch/Workaround/Detection) und Lessons Learned für Startups & KMU.

React2Shell in 60 Sekunden: Einordnung & Kontext

React2Shell wurde im Kontext der neuen React Server Components bekannt. Das React-Team veröffentlichte koordinierte Advisories und Fixes.

Der Vergleich zu Log4Shell kommt nicht von ungefähr: Auch hier kann in bestimmten Setups eine RCE ohne Login möglich sein – und Threat-Intelligence-Quellen berichten über aktive Ausnutzung.

Was ist React2Shell (CVE-2025-55182)? Eine Erklärung in einfachen Worten

React2Shell ist eine kritische Schwachstelle im Server-Teil der React Server Components (Flight-Protokoll). Angreifer können präparierte Daten so einspeisen, dass der Server diese am Ende wie Code behandelt.

Bin ich betroffen? Quick Check in 3 Minuten

Der wichtigste Punkt: Client-only React (SPA im Browser) ist in der Regel nicht direkt betroffen. Kritisch wird es, wenn Ihr Setup serverseitig RSC/SSR nutzt (z. B. Next.js App Router).

Schnelltest per Dependency-Liste

# Im Repo ausführen:
node -v
npm ls next react react-dom react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel

# Wenn Sie pnpm/yarn nutzen:
pnpm why next react react-dom
yarn why next react react-dom

Entscheidungsregel

• Next.js App Router (app/) + serverseitiges Rendering/RSC → als kritisch behandeln.
• Pages Router (pages/) ohne RSC → meist nicht betroffen, trotzdem Updates prüfen.
• Reines React-Frontend (Vite/CRA) ohne SSR → in der Regel nicht betroffen.

Wie funktioniert die Lücke technisch?

Technisch wird React2Shell häufig als Form unsicherer Deserialisierung eingeordnet: Der Server verarbeitet strukturierte Daten aus dem Flight-Stream und vertraut an mehreren Stellen dem Format zu sehr.

Für die Praxis entscheidend: Die Ausnutzung benötigt keine geheimen Informationen. Ein öffentlich erreichbarer RSC-/Server-Action-Endpunkt kann ausreichen, damit Scanner/Angreifer automatisiert testen.

Betroffene Frameworks & Versionen

Betroffen ist primär der Server-Anteil von React 19 und Frameworks, die RSC in bestimmten Versionen integrieren.

React / React Server Components

• Besonders relevant sind RSC-Pakete wie react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack in betroffenen Releases.
• Nutzen Sie die offiziellen Advisories/Release-Zweige für die gefixten Versionen.

Next.js

Besonders relevant: Next.js mit App Router. Prüfen Sie Ihre Version und patchen Sie gemäß den Security-Guides.

Typische Angriffsszenarien

In der Praxis sehen wir häufig: Erstzugriff → Secrets/Env auslesen → Cloud-Pivoting → Persistenz. Das Risiko betrifft damit nicht nur die App, sondern oft die gesamte Plattform.

1. Recon & Secrets: Auslesen von process.env, .env und Configs.
2. Cloud Pivoting: Zugriff auf Cloud-Ressourcen mit Tokens/Keys.
3. Supply Chain: npm-/Git-/Registry-Tokens missbrauchen.

Erkennung & Indicators of Compromise (IoCs)

Da Exploits über reguläre HTTP-Requests laufen, ist Detection nicht immer trivial. Achten Sie auf Muster in HTTP/WAF-Logs und auf ungewöhnlichen Egress-Traffic.

Schnelle Checks

• Spike an POST-Requests zu RSC-/Action-Endpunkten, ungewöhnliche Bodies, 5xx-Spitzen.
• Unbekannte ausgehende Verbindungen (IP/DNS), ggf. lange/auffällige DNS-Hostnames.
• Neue Prozesse/Binaries in /tmp, /dev/shm, auffällige CPU-Last.

Sofortmaßnahmen & Patch-Strategie

Für kleine Teams zählt jetzt vor allem Priorisierung: Betroffene Systeme patchen, dann rückwirkend prüfen, dann Prozesshärtung.

Beispiel: Update pragmatisch ausrollen

# Beispiel: Next.js/React aktualisieren (Versionen an Ihre Advisories anpassen)
npm install next@latest react@latest react-dom@latest

# Clean rebuild
rm -rf node_modules .next
npm install
npm run build

Lessons Learned für Startups & KMU

React2Shell ist ein Reminder: Dependency-Security ist Business-kritisch. Wer Updates, Ownership und Monitoring etabliert, reduziert Risiko massiv – ohne Over-Engineering.

Häufige Fragen zu React2Shell