BulletinIncident maîtrisé

Bulletin de sécurité : React2Shell (CVE-2025-55182 / CVE-2025-66478)

Cette page explique comment la vulnérabilité React2Shell a touché apptesters.org, ce que nous avons fait pour sécuriser nos systèmes et ce que cela signifie pour vos données.

Première publication: 12 décembre 2025 (IST)
Statut: Corrigé et surveillé
Identifiants CVE: CVE-2025-55182 (React), CVE-2025-66478 (Next.js)

Impact sur les données clients

Aucun signe d’accès aux données clients

Ce serveur ne stocke ni les détails de votre compte, ni vos commandes, ni vos informations de paiement, ni vos certificats. Ceux-ci se trouvent sur nos backends cloud Google et Amazon, qui n’ont pas été compromis.

Risque d’exposition des données (cet hôte)

Ce qui s’est passé

Exécution de code à distance sur le serveur web

Une vulnérabilité critique de React Server Components a été exploitée contre notre app Next.js publique. Les attaquants ont pu exécuter des commandes limitées à l’intérieur d’un conteneur restreint sur le serveur web.

Flux de requêtes simplifié

Requête de l’attaquant→App Next.js→Service Node

Situation actuelle

Vulnérabilité corrigée, C2 bloqué, accès renforcés

Nous avons mis à niveau vers des versions corrigées, supprimé tout artefact malveillant résiduel, bloqué l’infrastructure d’attaque au niveau du pare-feu, durci les paramètres SSH et ajouté une surveillance de l’état du système.

Couches de défense désormais en place

App corrigéeBlocages pare-feuDurcissement SSH

Qu’est-ce que React2Shell (CVE-2025-55182 / CVE-2025-66478) ?

React2Shell est une vulnérabilité critique d’exécution de code à distance dans React Server Components (RSC). Elle est référencée CVE-2025-55182 dans React lui-même et CVE-2025-66478 pour son impact en aval sur les applications Next.js utilisant l’App Router.

Dans les versions vulnérables, le protocole RSC pouvait être amené à effectuer une désérialisation non sécurisée de données contrôlées par l’attaquant. Ces données pouvaient ensuite invoquer directement des API côté serveur et exécuter des commandes shell arbitraires via Node.js :

Un attaquant envoie une requête HTTP spécialement conçue à un point de terminaison vulnérable.
Le serveur traite la charge utile RSC malveillante et finit par exécuter des commandes arbitraires dans le processus Node.js.
Ces commandes s’exécutent avec les mêmes privilèges que l’application web sur ce serveur.

La vulnérabilité a été notée CVSS 10.0 (critique) et a été largement exploitée contre des applications non corrigées.

Que s’est-il passé sur apptesters.org ?

Notre site principal apptesters.org fonctionne avec Next.js et React Server Components. Pendant la vague mondiale d’exploitation de React2Shell, des attaquants ont déclenché une exécution de code à distance sur ce serveur web de production.

L’analyse des journaux et des processus nous a permis de constater que :

Le trafic d’exploitation a invoqué des commandes Node.js tentant de télécharger et d’exécuter des charges utiles génériques de botnet / malware.
Plusieurs tentatives ont été faites pour récupérer des binaires et des scripts depuis des serveurs de commande et de contrôle externes et pour établir une persistance.
Ces charges utiles ont pour la plupart échoué, car l’application s’exécutait dans un conteneur restreint, sans shell permanent, sans gestionnaire de paquets global et avec des limites de ressources strictes.
Aucun signe d’exfiltration de données, de collecte d’identifiants ou de mouvement latéral de cet hôte vers nos backends cloud n’a été trouvé.

Ce que nous avons fait pour sécuriser nos systèmes

Notre réponse s’est concentrée sur la correction de la vulnérabilité, la suppression de tout malware potentiel et le renforcement des accès afin de limiter la portée de problèmes similaires à l’avenir.

1. Correction de la pile applicative

Mise à jour de Next.js vers la version 15.3.6 avec l’outil officiel fix-react2shell-next, afin d’utiliser l’implémentation renforcée de React Server Components.

2. Suppression des artefacts suspects

Recherche d’indicateurs connus de mineurs / botnets, suppression de tout binaire ou script inconnu, et vérification qu’aucun service ni tâche cron malveillant ne subsistait.

3. Renforcement des accès SSH

Connexions SSH limitées à un accès root par clé uniquement, revue des clés autorisées et durcissement de la configuration pour réduire les points d’entrée à distance.

4. Ajout de blocages au niveau réseau

Ajout de règles de pare-feu explicites pour bloquer toute communication avec les IP de commande et de contrôle malveillantes connues associées à cette campagne.

5. Amélioration de la surveillance et des contrôles d’état

Activation d’une surveillance légère de l’état des processus clés et ajout de garde-fous pour détecter toute utilisation anormale des ressources sur le serveur.

6. Documentation et amélioration continue

Préparation de ce résumé public de l’incident et d’un rapport interne plus détaillé afin de continuer à améliorer notre posture de sécurité.

Ce que cela signifie pour vos données

La question la plus importante est de savoir si cet incident a touché vos données. D’après notre architecture et notre enquête :

Où se trouvent réellement vos données

Les comptes clients, les commandes, les identifiants d’appareils (UDID) et les données opérationnelles sont stockés sur nos backends cloud gérés (services Google / Amazon).
Ce serveur web héberge uniquement le frontend Next.js et la couche API qui communique avec ces backends ; il ne stocke pas de copies complètes de ces données sur disque.
Nous n’avons trouvé aucun signe indiquant que des attaquants auraient accédé à ces systèmes cloud ou à des dossiers clients.

En bref : cet incident a touché l’environnement du serveur d’interface, et non les bases de données où se trouvent vos informations.