SicherheitshinweisVorfall eingedämmt

Sicherheitshinweis: React2Shell (CVE-2025-55182 / CVE-2025-66478)

Diese Seite erklärt, wie die React2Shell-Schwachstelle apptesters.org betroffen hat, was wir zur Absicherung unserer Systeme getan haben und was das für deine Daten bedeutet.

Erstmals veröffentlicht: 12. Dezember 2025 (IST)
Status: Gepatcht & überwacht
CVE-IDs: CVE-2025-55182 (React), CVE-2025-66478 (Next.js)

Auswirkungen auf Kundendaten

Keine Hinweise auf Zugriff auf Kundendaten

Dieser Server speichert weder deine Kontodaten noch Bestellungen, Zahlungsinformationen oder Zertifikate. Diese liegen in unseren Cloud-Backends bei Google und Amazon, die nicht kompromittiert wurden.

Risiko einer Datenoffenlegung (dieser Host)

Was passiert ist

Remote Code Execution auf dem Webserver

Eine kritische Schwachstelle in React Server Components wurde gegen unsere öffentliche Next.js-App ausgenutzt. Angreifer konnten eingeschränkte Befehle in einem abgeschotteten Container auf dem Webserver ausführen.

Vereinfachter Ablauf der Anfrage

Anfrage des Angreifers→Next.js-App→Node-Dienst

Aktueller Stand

Schwachstelle gepatcht, C2 blockiert, Zugriff gehärtet

Wir haben auf gepatchte Versionen aktualisiert, verbliebene schädliche Artefakte entfernt, die Angriffsinfrastruktur in der Firewall blockiert, die SSH-Einstellungen verschärft und ein Health-Monitoring eingerichtet.

Jetzt aktive Schutzebenen

Gepatchte AppFirewall-SperrenSSH-Härtung

Was ist React2Shell (CVE-2025-55182 / CVE-2025-66478)?

React2Shell ist eine kritische Schwachstelle zur Remote Code Execution in React Server Components (RSC). Sie wird in React selbst als CVE-2025-55182 geführt und als CVE-2025-66478 für die Folgen bei Next.js-Anwendungen, die den App Router nutzen.

In anfälligen Versionen konnte das RSC-Protokoll zu einer unsicheren Deserialisierung von Daten unter Kontrolle des Angreifers verleitet werden. Diese Daten konnten dann direkt serverseitige APIs aufrufen und über Node.js beliebige Shell-Befehle ausführen:

Ein Angreifer sendet eine präparierte HTTP-Anfrage an einen anfälligen Endpunkt.
Der Server verarbeitet die schädliche RSC-Payload und führt dabei beliebige Befehle im Node.js-Prozess aus.
Diese Befehle laufen mit denselben Rechten wie die Webanwendung auf diesem Server.

Die Schwachstelle wurde mit CVSS 10.0 (kritisch) bewertet und wird gegen ungepatchte Anwendungen weithin aktiv ausgenutzt.

Was ist auf apptesters.org passiert?

Unsere Hauptwebsite apptesters.org läuft mit Next.js und React Server Components. Während der weltweiten React2Shell-Angriffswelle lösten Angreifer eine Remote Code Execution auf diesem produktiven Webserver aus.

Bei der Analyse von Logs und Prozessen haben wir Folgendes festgestellt:

Der Angriffsverkehr rief Node.js-Befehle auf, die versuchten, generische Botnet- bzw. Malware-Payloads herunterzuladen und auszuführen.
Es gab mehrere Versuche, Binärdateien und Skripte von externen Command-and-Control-Servern abzurufen und sich dauerhaft festzusetzen.
Diese Payloads scheiterten größtenteils, weil die Anwendung in einem eingeschränkten Container ohne dauerhafte Shell, ohne globalen Paketmanager und mit strengen Ressourcenlimits lief.
Es wurden keine Hinweise auf Datenabfluss, das Abgreifen von Zugangsdaten oder eine laterale Ausbreitung von diesem Host auf unsere Cloud-Backends gefunden.

Was wir zur Absicherung unserer Systeme getan haben

Unsere Reaktion konzentrierte sich darauf, die Schwachstelle zu patchen, mögliche Malware zu entfernen und den Zugriff zu härten, um die Auswirkungen ähnlicher Probleme künftig zu begrenzen.

1. Anwendungs-Stack gepatcht

Next.js mit dem offiziellen Tool fix-react2shell-next auf 15.3.6 aktualisiert, sodass wir die gehärtete Implementierung von React Server Components verwenden.

2. Verdächtige Artefakte entfernt

Nach bekannten Miner- und Botnet-Indikatoren gesucht, unbekannte Binärdateien oder Skripte entfernt und sichergestellt, dass keine schädlichen Dienste oder Cronjobs zurückgeblieben sind.

3. SSH-Zugriff gehärtet

SSH-Anmeldungen auf schlüsselbasierten Root-Zugriff beschränkt, autorisierte Schlüssel überprüft und die Konfiguration verschärft, um entfernte Zugangspunkte zu reduzieren.

4. Sperren auf Netzwerkebene ergänzt

Explizite Firewall-Regeln hinzugefügt, die die Kommunikation mit bekannten schädlichen Command-and-Control-IPs dieser Kampagne blockieren.

5. Monitoring & Health-Checks verbessert

Ein schlankes Health-Monitoring für wichtige Prozesse aktiviert und Schutzmechanismen ergänzt, die ungewöhnliche Ressourcennutzung auf dem Server erkennen.

6. Dokumentiert & wird weiterentwickelt

Diese öffentliche Zusammenfassung des Vorfalls sowie einen ausführlicheren internen Bericht erstellt, damit wir unsere Sicherheitslage weiter verbessern können.

Was das für deine Daten bedeutet

Die wichtigste Frage ist, ob dieser Vorfall deine Daten betroffen hat. Auf Grundlage unserer Architektur und Untersuchung gilt:

Wo deine Daten tatsächlich liegen

Kundenkonten, Bestellungen, Gerätekennungen (UDIDs) und Betriebsdaten sind in unseren verwalteten Cloud-Backends (Dienste von Google / Amazon) gespeichert.
Dieser Webserver hostet nur das Next.js-Frontend und die API-Schicht, die mit diesen Backends kommuniziert; er speichert keine vollständigen Kopien dieser Daten auf der Festplatte.
Wir haben keine Hinweise darauf gefunden, dass Angreifer auf diese Cloud-Systeme oder auf Kundendatensätze zugegriffen haben.

Kurz gesagt: Dieser Vorfall betraf die Serverumgebung der Benutzeroberfläche, nicht die Datenbanken, in denen deine Informationen liegen.