React2Shell: La vulnerabilità zero-click che alimenta un’ondata globale di crimini informatici
Una singola vulnerabilità nei React Server Components ha lasciato decine di migliaia di server esposti a cyberattacchi rapidi e mirati-con hacker sponsorizzati dagli stati già all’opera.
Quando una falla di sicurezza critica è emersa nel framework di sviluppo web più popolare al mondo, sono bastate poche ore perché i cybercriminali lanciassero un’offensiva globale. La vulnerabilità React2Shell-individuabile dagli utenti e facilmente sfruttabile dagli aggressori-ha già permesso intrusioni in oltre 30 organizzazioni, con più di 77.000 server ancora esposti alla minaccia. Mentre gruppi di hacker sponsorizzati dagli stati si uniscono alla mischia, è iniziata la corsa alle patch, ma i difensori riusciranno a tenere il passo degli attaccanti?
Anatomia di un colpo moderno al web
Il 3 dicembre, i manutentori di React hanno rivelato una bomba a orologeria: una falla di esecuzione di codice remoto (RCE) annidata nei React Server Components, che colpisce framework come Next.js. La vulnerabilità, tracciata come CVE-2025-55182 e soprannominata “React2Shell”, si basa su una deserializzazione non sicura-consentendo agli attaccanti di inviare una richiesta HTTP appositamente creata e prendere istantaneamente il controllo di un server vulnerabile, senza bisogno di login.
Nell’arco di un giorno sono stati pubblicati exploit proof-of-concept. Scansioni automatiche hanno attraversato il globo, con Shadowserver che ha registrato quasi 78.000 IP esposti, e gli attaccanti che sono rapidamente passati dalla rilevazione allo sfruttamento. GreyNoise ha tracciato oltre 180 IP di attaccanti unici in sole 24 ore, con la maggior parte del traffico malevolo proveniente da Paesi Bassi, Cina e Stati Uniti.
Dalla ricognizione al controllo totale
Gli attaccanti di solito iniziano inviando semplici comandi PowerShell per verificare se un server è vulnerabile, per poi passare a script codificati che scaricano ulteriore malware. I payload preferiti? Beacon Cobalt Strike per il comando e controllo, dropper Snowlight per distribuire altri strumenti malevoli e backdoor Vshell per un accesso persistente e furtivo. Secondo l’intelligence di Palo Alto Networks e Amazon AWS, violazioni di alto profilo sono state collegate ad APT cinesi come Earth Lamia, Jackpot Panda e UNC5174-gruppi con una storia di spionaggio e brokeraggio di accessi iniziali.
Il manuale degli attaccanti include il furto di credenziali AWS, la disattivazione delle difese di sicurezza e il movimento laterale all’interno delle reti. La portata e la velocità di queste operazioni sottolineano la professionalizzazione del cybercrimine, con attori statali che sfruttano exploit pubblici quasi immediatamente dopo la loro comparsa.
Panico da patch e danni collaterali
Con così tante organizzazioni a rischio, la corsa alla patch è stata immediata. Cloudflare ha rilasciato in fretta una regola d’emergenza per il Web Application Firewall (WAF)-solo per causare involontariamente l’interruzione di innumerevoli siti dei clienti. Nel frattempo, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto React2Shell alla sua lista di vulnerabilità da correggere obbligatoriamente, imponendo alle agenzie federali di aggiornare entro il 26 dicembre 2025.
Gli esperti di sicurezza avvertono che aggiornare non basta: le applicazioni devono essere ricostruite e ridistribuite, e i log vanno esaminati attentamente per individuare esecuzioni di comandi sospetti. Per le organizzazioni lente a reagire, la finestra di difesa si sta rapidamente chiudendo.
