AvvisoIncidente contenuto

Avviso di sicurezza: React2Shell (CVE-2025-55182 / CVE-2025-66478)

Questa pagina spiega come la vulnerabilità React2Shell ha interessato apptesters.org, cosa abbiamo fatto per mettere in sicurezza i nostri sistemi e cosa significa per i tuoi dati.

Prima pubblicazione: 12 dicembre 2025 (IST)
Stato: Corretto e monitorato
ID CVE: CVE-2025-55182 (React), CVE-2025-66478 (Next.js)

Impatto sui dati dei clienti

Nessuna prova di accesso ai dati dei clienti

Questo server non conserva i dati del tuo account, gli ordini, le informazioni di pagamento o i certificati. Questi si trovano sui nostri backend cloud di Google e Amazon, che non sono stati compromessi.

Rischio di esposizione dei dati (questo host)

Cosa è successo

Esecuzione di codice da remoto sul server web

Una vulnerabilità critica di React Server Components è stata sfruttata contro la nostra app pubblica Next.js. Gli aggressori sono riusciti a eseguire comandi limitati all’interno di un container con privilegi ristretti sul server web.

Flusso semplificato della richiesta

Richiesta dell’aggressore→App Next.js→Servizio Node

Stato attuale

Vulnerabilità corretta, C2 bloccato, accessi rafforzati

Abbiamo aggiornato alle versioni corrette, rimosso ogni residuo di artefatti dannosi, bloccato l’infrastruttura dell’attacco a livello di firewall, reso più restrittive le impostazioni SSH e aggiunto il monitoraggio dello stato del sistema.

Livelli di difesa ora attivi

App correttaBlocchi firewallSSH rafforzato

Che cos’è React2Shell (CVE-2025-55182 / CVE-2025-66478)?

React2Shell è una vulnerabilità critica di esecuzione di codice da remoto in React Server Components (RSC). È identificata come CVE-2025-55182 in React stesso e come CVE-2025-66478 per il suo impatto a valle sulle applicazioni Next.js che usano l’App Router.

Nelle versioni vulnerabili, il protocollo RSC poteva essere indotto a una deserializzazione non sicura di dati controllati dall’aggressore. Tali dati potevano quindi invocare direttamente API lato server ed eseguire comandi shell arbitrari tramite Node.js:

Un aggressore invia una richiesta HTTP appositamente creata a un endpoint vulnerabile.
Il server elabora il payload RSC dannoso e finisce per eseguire comandi arbitrari all’interno del processo Node.js.
Tali comandi vengono eseguiti con gli stessi privilegi dell’applicazione web su quel server.

La vulnerabilità ha ricevuto una valutazione CVSS 10.0 (critica) ed è stata ampiamente sfruttata contro applicazioni non aggiornate.

Cosa è successo su apptesters.org?

Il nostro sito principale apptesters.org funziona con Next.js e React Server Components. Durante l’ondata globale di sfruttamento di React2Shell, gli aggressori hanno provocato un’esecuzione di codice da remoto su questo server web di produzione.

Dall’analisi dei log e dei processi abbiamo osservato che:

Il traffico dell’exploit ha invocato comandi Node.js nel tentativo di scaricare ed eseguire payload generici di botnet / malware.
Sono stati effettuati diversi tentativi di scaricare binari e script da server esterni di comando e controllo e di ottenere persistenza.
Questi payload sono per lo più falliti perché l’applicazione era in esecuzione in un container con privilegi ristretti, senza shell persistente, senza gestore di pacchetti globale e con limiti rigorosi sulle risorse.
Non sono state trovate prove di esfiltrazione di dati, raccolta di credenziali o movimenti laterali da questo host verso i nostri backend cloud.

Cosa abbiamo fatto per mettere in sicurezza i nostri sistemi

La nostra risposta si è concentrata sulla correzione della vulnerabilità, sulla rimozione di qualsiasi potenziale malware e sul rafforzamento degli accessi, per ridurre il raggio d’impatto di problemi simili in futuro.

1. Abbiamo aggiornato lo stack applicativo

Abbiamo aggiornato Next.js alla versione 15.3.6 con lo strumento ufficiale fix-react2shell-next, assicurandoci di usare l’implementazione rafforzata di React Server Components.

2. Abbiamo rimosso gli artefatti sospetti

Abbiamo cercato indicatori noti di miner / botnet, rimosso eventuali binari o script sconosciuti e verificato che non rimanessero servizi o cron job dannosi.

3. Abbiamo rafforzato l’accesso SSH

Abbiamo limitato gli accessi SSH al solo accesso root tramite chiave, rivisto le chiavi autorizzate e reso più restrittiva la configurazione per ridurre i punti di accesso remoti.

4. Abbiamo aggiunto blocchi a livello di rete

Abbiamo aggiunto regole firewall esplicite per bloccare le comunicazioni con gli IP di comando e controllo noti come dannosi e associati a questa campagna.

5. Abbiamo migliorato monitoraggio e controlli di stato

Abbiamo attivato un monitoraggio leggero dello stato dei processi principali e aggiunto protezioni per rilevare un uso anomalo delle risorse sul server.

6. Abbiamo documentato e continueremo a migliorare

Abbiamo preparato questo riepilogo pubblico dell’incidente e un report interno più dettagliato, per continuare a migliorare il nostro livello di sicurezza.

Cosa significa per i tuoi dati

La domanda più importante è se questo incidente abbia riguardato i tuoi dati. In base alla nostra architettura e alla nostra indagine:

Dove si trovano davvero i tuoi dati

Gli account dei clienti, gli ordini, gli identificativi dei dispositivi (UDID) e i dati operativi sono conservati sui nostri backend cloud gestiti (servizi Google / Amazon).
Questo server web ospita solo il frontend Next.js e il livello API che comunica con tali backend; non conserva su disco copie complete di quei dati.
Non abbiamo trovato alcuna prova che gli aggressori abbiano avuto accesso a quei sistemi cloud o ad alcun record dei clienti.

In breve: questo incidente ha riguardato l’ambiente del server dell’interfaccia, non i database in cui si trovano le tue informazioni.