Meta React-server-dom-webpack: Remote Code Execution (RCE) (CVE-2025-55182)

Was ist betroffen, was ist zu tun

Ein Angreifer kann über eine Schwachstelle in React Server Components eine Remote-Code-Ausführung (RCE) ohne Authentifizierung durchführen, indem er ein Problem im Deserialisierungsprozess von HTTP-Anfragen ausnutzt. Diese Schwachstelle betrifft Versionen 19.0.0 bis 19.2.0 der Pakete react-server-dom-parcel, react-server-dom-turbopack und react-server-dom-webpack. Sie wird bereits aktiv in Ransomware-Kampagnen ausgenutzt. Ein sofortiges Update auf die neueste Version ist dringend erforderlich, um die Sicherheitslücke zu schließen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie next.js auf Version 15.0.5. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Meta React-server-dom-webpack lte 19.0.0..19.0.0
• Meta React-server-dom-webpack lte 19.1.0..19.1.1
• Meta React-server-dom-webpack lte 19.2.0..19.2.0
• Meta React-server-dom-turbopack lte 19.0.0..19.0.0
• Meta React-server-dom-turbopack lte 19.1.0..19.1.1
• Meta React-server-dom-turbopack lte 19.2.0..19.2.0
• Meta React-server-dom-parcel lte 19.0.0..19.0.0
• Meta React-server-dom-parcel lte 19.1.0..19.1.1
• Meta React-server-dom-parcel lte 19.2.0..19.2.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestandsaufnahme der Abhängigkeiten: In allen Repositories, Container-Images und Build-Artefakten nach react-server-dom-webpack, react-server-dom-turbopack, react-server-dom-parcel in den Versionen 19.0.0, 19.1.0, 19.1.1, 19.2.0 sowie nach next 15.0.0–15.0.5, 15.1.0–15.1.9, 15.2.0–15.2.6, 15.3.0–15.3.6 suchen (npm ls react-server-dom-webpack next, SBOM-Abfrage, grep in package-lock.json/pnpm-lock.yaml). Weitere Next.js-Hauptversionen mit App Router gegen das Vendor-Advisory abgleichen.
   • Patch einspielen: Gepatchte Versionen sind bei Meta/React und Vercel/Next.js verfügbar. Zielversion bitte im jeweiligen Vendor-Advisory nachschlagen. Lockfile aktualisieren, neu bauen und neu ausrollen. Ein reines Update ohne Neuaufbau des Images genügt nicht.
   • Internetexponierte Instanzen zuerst: Öffentlich erreichbare Next.js-/RSC-Anwendungen (App Router, Server Actions) priorisieren. Ist ein sofortiges Rollout nicht möglich, die Anwendung hinter eine WAF mit aktivierter Regel gegen diese Schwachstelle stellen oder vorübergehend vom Netz nehmen.
   • Kompromittierungsprüfung vor dem Patchen: Für Instanzen, die seit Anfang Dezember 2025 ungepatcht exponiert waren, Logs und Prozessbaum sichern (forensische Sicherung) und auf die unten genannten Indikatoren prüfen. Bei einem Treffer gilt der Host als kompromittiert.
   • Geheimnisse rotieren: Bei jedem Verdacht alle Secrets rotieren, die der Node.js-Prozess lesen konnte: .env-Werte, Datenbank-Zugangsdaten, API-Schlüssel, Cloud-IAM-Rollen-Credentials (über den Instance-Metadata-Service erreichbar) und Signierschlüssel für Sessions/JWT.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • WAF/IPS: POST-Requests mit gesetztem Next-Action-Header oder RSC-Content-Types (text/x-component, multipart/form-data an Server-Function-Routen) prüfen. Bodies blockieren, die Prototyp-Referenzen wie __proto__, constructor:constructor oder RSC-Referenzmuster ("$@, "$1:, :then") enthalten. Verwaltete Regelsätze der CDN-/WAF-Anbieter für CVE-2025-55182 aktivieren und vom Modus „Log“ auf „Block“ umstellen.
   • Netzsegmentierung und Egress-Filterung: Den ausgehenden Datenverkehr von Node.js-Applikationsservern auf eine Allowlist begrenzen (Datenbank, interne APIs, benötigte SaaS-Endpunkte). Ausgehende Verbindungen zu beliebigen Internetzielen, insbesondere über curl/wget oder Reverse-Shell-Ports, blockieren. Den Zugriff auf 169.254.169.254 per IMDSv2 bzw. Hop-Limit einschränken.
   • Endpunkt- und Container-Härtung: Node.js als unprivilegierten Benutzer betreiben, das Root-Dateisystem schreibgeschützt einhängen (readOnlyRootFilesystem), Linux-Capabilities entziehen und Seccomp/AppArmor aktivieren. Wo möglich, distroless-Images ohne Shell verwenden, damit das Nachladen von Werkzeugen erschwert wird.
   • IAM/Least-Privilege: Die Workload-Identität der Applikation auf das Minimum reduzieren: kein Schreibzugriff auf Buckets, keine iam:*- und keine Secrets-Manager-Wildcards. Datenbankkonten ohne DDL- und Admin-Rechte vergeben.
   • Konfiguration: Nicht benötigte Server Actions bzw. Server Functions deaktivieren oder entfernen. Interne Admin-Oberflächen auf Next.js-Basis ausschließlich über VPN/ZTNA erreichbar machen.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • EDR-Prozessabstammung: node (bzw. next-server) als Elternprozess von sh, bash, dash, curl, wget, nc, python, base64 oder chmod. Sigma-Form: ParentImage|endswith: '/node' AND Image|endswith: ['/sh','/bash','/curl','/wget']. KQL: DeviceProcessEvents | where InitiatingProcessFileName =~ "node" and FileName in~ ("sh","bash","curl","wget","nc").
   • Linux auditd: execve-Ereignisse mit ppid des Node.js-Prozesses beobachten. Regel: -a always,exit -F arch=b64 -S execve -F uid=<app-uid> -k rsc_exec. Jede Shell-Ausführung unter dem App-Benutzer ist verdächtig.
   • Webserver-/Reverse-Proxy-Logs: Gezielt auf POST-Anfragen mit Next-Action-Header von unbekannten Quell-IPs achten, ebenso auf ungewöhnlich große Multipart-Bodies, HTTP 500 nach solchen POSTs und Scanning-Muster auf / bzw. beliebige Routen. SPL: index=web method=POST "Next-Action" | stats count by src_ip, uri | where count > 20.
   • Netzwerktelemetrie (Zeek/Suricata): Neue ausgehende Verbindungen von Applikationsservern zu unbekannten IPs, Zugriffe auf den Cloud-Metadata-Endpunkt durch Node-Prozesse sowie DNS-Anfragen zu Paste-, Tunnel- oder Mining-Diensten.
   • Datei- und Persistenzartefakte: Neue ausführbare Dateien in /tmp, /dev/shm oder im App-Verzeichnis, Änderungen an crontab oder ~/.ssh/authorized_keys sowie Lesezugriffe von Shell-Prozessen auf .env (Sysmon for Linux EID 1/11).

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein vorauthentifizierter Ferncodeausführungsfehler besteht in React Server Components-Versionen 19.0.0, 19.1.0, 19.1.1 und 19.2.0 einschließlich der folgenden Pakete: react-server-dom-parcel, react-server-dom-turbopack und react-server-dom-webpack. Der fehlerhafte Code deserialisiert unsicher Payloads aus HTTP-Anfragen zu Server-Funktionsendpunkten.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), CISA KEV Catalog, CVE.org (MITRE), pwn.watch, certeu_advisory, CSA/SingCERT, cvelistv5, OSV (Open Source Vulnerabilities)

Hersteller und Produkte

• Facebook Facebook React
• Meta React-server-dom-parcel
• Meta React-server-dom-turbopack
• Meta React-server-dom-webpack
• Vercel Vercel Next.js

Quellen & Referenzen

• github.comfacebook/react/security/advisories/GHSA-fv66-9v8q-g76rweb
• NVD (NIST)NVD: CVE-2025-55182advisory, pwn-watch
• github.comfacebook/react/pull/35277web
• github.comfacebook/react/commit/7dc903cd29dac55efb4424853fd0442fef3a8700web
• github.comejpir/CVE-2025-55182-pocweb
• github.comfacebook/reactpackage
• github.comfacebook/react/releases/tag/v19.0.1web
• github.comfacebook/react/releases/tag/v19.1.2web
• github.comfacebook/react/releases/tag/v19.2.1web
• news.ycombinator.comitem?id=46136026web, Issue-Tracker
• react.devCritical Security Vulnerability in React Server Componentsweb, Patch, Herstellerhinweis, x_refsource_CONFIRM, pwn-watch
• facebook.comsecurity/advisories/cve-2025-55182web, Herstellerhinweis, x_refsource_CONFIRM
• openwall.comlists/oss-security/2025/12/03/4web, Mailingliste, Patch, Hinweis Dritter
• aws.amazon.comChina-nexus cyber threat groups rapidly exploit React2Shellmedia-coverage, Hinweis Dritter, pwn-watch
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182government-resource, US-Behörde
• cert.atCERT.at: React2Shell - Angriffe gegen verwundbare Anwendungen auf von Basis React.JS und weiterer Frameworkscert-at
• cert.cyber.gouv.frANSSI / CERT-FR: CERTFR-2025-ALE-014 – [MàJ] Vulnérabilité dans React Server Components (clôturée 2026-02-12)cert-fr
• pwn.watchpwn.watch: React2Shell: CVSS 10 unauthenticated RCE in React Server Components and Next.jspwn-watch
• cloud.google.comMultiple Threat Actors Exploit React2Shell (CVE-2025-55182)pwn-watch
• unit42.paloaltonetworks.comExploitation of Critical Vulnerability in React Server Componentspwn-watch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 08.10.2026Analyse der NVD geändertNVD

2. 07.10.2026Eintrag geändertfb.com

   Neue Referenzen:

   • https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
   • https://www.facebook.com/security/advisories/cve-2025-55182
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
   Referenz	ergänzt	—	https://www.facebook.com/security/advisories/cve-2025-55182
   Referenz	entfernt	https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components	—
   Referenz	entfernt	https://www.facebook.com/security/advisories/cve-2025-55182	—
   Referenztyp	entfernt	https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components Types: Patch, Vendor Advisory	—
   Referenztyp	entfernt	https://www.facebook.com/security/advisories/cve-2025-55182 Types: Vendor Advisory	—

   Kennung der Quelle: cve-assign@fb.com

3. 07.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   Schwachstellentyp: CWE-502

   Neue Referenzen:

   • https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/
   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182
   9 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Schwachstellentyp (CWE)	ergänzt	—	CWE-502
   Referenz	ergänzt	—	https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182
   Referenz	entfernt	https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/	—
   Referenz	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182	—
   Referenztyp	entfernt	https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/ Types: Third Party Advisory	—
   Referenztyp	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182 Types: US Government Resource	—
   SSVC-Einschätzung	entfernt	{"id":"CVE-2025-55182","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2025-12-03T00:00:00+00:00"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2025-55182","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-08-04T03:56:02.696515Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

4. 07.10.2026Eintrag geändertCVE Program

   Neue Referenzen:

   • http://www.openwall.com/lists/oss-security/2025/12/03/4
   • https://news.ycombinator.com/item?id=46136026
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	http://www.openwall.com/lists/oss-security/2025/12/03/4
   Referenz	ergänzt	—	https://news.ycombinator.com/item?id=46136026
   Referenz	entfernt	http://www.openwall.com/lists/oss-security/2025/12/03/4	—
   Referenz	entfernt	https://news.ycombinator.com/item?id=46136026	—
   Referenztyp	entfernt	http://www.openwall.com/lists/oss-security/2025/12/03/4 Types: Mailing List, Patch, Third Party Advisory	—
   Referenztyp	entfernt	https://news.ycombinator.com/item?id=46136026 Types: Issue Tracking	—

   Kennung der Quelle: af854a3a-2127-422b-91ae-364da2661108

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.

Verknüpfte Advisories

• Dysphoria: 296.000 IoT-Geräte für DDoS und Residential-Proxy missbrauchtNEOSEC-Beitrag18.08.2026
• Credential Harvesting Campaign Exploits React2ShellSANS NewsBites07.04.2026
• LexisNexis breach (FulcrumSec claims React2Shell path)pwn.watch24.02.2026