Chinesische Hacker attackieren React2Shell-Lücke (CVE-2025-55182) nur Stunden nach Disclosure

Nur wenige Stunden nach der Veröffentlichung der kritischen React-Schwachstelle CVE-2025-55182 („React2Shell“) am 3. Dezember 2025 registrierten Amazons Threat-Intelligence-Teams bereits gezielte Ausnutzungsversuche durch China-stämmige Cybergruppen, darunter Earth Lamia und Jackpot Panda. Die RCE-Lücke (CVSS 10.0) betrifft React-19-Installationen sowie Next.js-15/16-Deployments, die den App Router und React Server Components nutzen.

AWS betont, dass keine eigenen Services betroffen sind. Allerdings zeigt Telemetrie aus der globalen MadPot-Honeypot-Infrastruktur, dass sowohl bekannte APT-Akteure als auch neue, bislang unbenannte Cluster die Schwachstelle aktiv testen und angreifen. Die Angreifer setzen dafür schnelle, oft unpräzise PoCs, automatisierte Scanner mit Tarnmechanismen sowie parallele Ausnutzung weiterer N-Day-Lücken ein – ein etabliertes Muster chinesischer staatlich gelenkter Cyberoperationen.

In mehreren Fällen versuchten Angreifer systematisch über längere Zeiträume verschiedene Payloads, Linux-Kommandos und Dateizugriffe, was auf manuelle Feintuning-Versuche gegen Live-Ziele hindeutet. Teilweise werden fehlerhafte oder unvollständige PoCs genutzt – Hauptsache schnell operationalisierbar und massentauglich.

Admins, die React oder Next.js in eigenen Umgebungen (EC2, Container u. a.) betreiben, sollen umgehend auf die gepatchten Versionen aktualisieren – React 19.0.1/19.1.2/19.2.1 bzw. die jeweils abgesicherten Next.js-Releases.

Tags :

Related Posts

glob CLI: Command-Injection-Lücke durch -c/--cmd ermöglicht Codeausführung

Die npm-Bibliothek glob weist eine schwere Schwachstelle (CVE-2025-64756) in ihrem CLI-Tool auf: Die Option -c/–cmd führt gefundene Dateinamen mit shell:true aus – und ermöglicht so Command Injection, wenn Dateien manipulierte Namen enthalten. Betroffen sind glob-Versionen ab 10.2.0 bis 10.4.x sowie 11.0.x; abgesichert wurde der Fehler in den Releases 10.5.0 und 11.1.0.

Read More

Wiener Forscher decken massive WhatsApp-Datenschutzlücke auf

Informatikerinnen der Universität Wien und SBA Research haben eine gravierende Schwachstelle im Contact-Discovery-Mechanismus von WhatsApp entdeckt, die globale Nutzerinnen-Enumeration ermöglichte. Durch extrem hohe Abfrageraten konnten die Forschenden mehr als 3,5 Milliarden aktive WhatsApp-Konten weltweit identifizieren, inklusive Metadaten wie Telefonnummer, öffentlicher Schlüssel, Zeitstempel und – sofern freigegeben – Profilbild oder About-Text.

Read More

Let’s Encrypt kürzt Zertifikatslaufzeit auf 45 Tage

Let’s Encrypt stellt seine TLS-Zertifikate künftig deutlich kürzer aus: Statt 90 Tagen gelten sie perspektivisch nur noch 45 Tage. Hintergrund ist eine Entscheidung des CA/Browser-Forums, die maximale Laufzeiten in der Web-PKI verbindlich reduziert.

Read More