БюллетеньИнцидент локализован

Бюллетень безопасности: React2Shell (CVE-2025-55182 / CVE-2025-66478)

На этой странице описано, как уязвимость React2Shell затронула apptesters.org, что мы сделали для защиты наших систем и что это значит для ваших данных.

Впервые опубликовано
12 декабря 2025 г. (IST)
Статус
Исправлено, ведётся мониторинг
Идентификаторы CVE
CVE-2025-55182 (React), CVE-2025-66478 (Next.js)

Влияние на данные клиентов

Признаков доступа к данным клиентов нет

На этом сервере не хранятся данные вашего аккаунта, заказы, платёжная информация или сертификаты. Они находятся в наших облачных бэкендах Google и Amazon, которые не были скомпрометированы.

Риск раскрытия данных (этот хост)

Что произошло

Удалённое выполнение кода на веб-сервере

Критическая уязвимость React Server Components была использована против нашего публичного приложения на Next.js. Злоумышленники смогли выполнить ограниченный набор команд внутри изолированного контейнера на веб-сервере.

Упрощённая схема запроса

Запрос атакующего→Next.js→Node-сервис

Текущее состояние

Уязвимость устранена, C2 заблокирован, доступ усилен

Мы обновились до исправленных версий, удалили оставшиеся вредоносные артефакты, заблокировали инфраструктуру атаки на уровне межсетевого экрана, ужесточили настройки SSH и добавили мониторинг состояния.

Действующие уровни защиты

Исправленное приложениеБлокировки на межсетевом экранеУсиление SSH

Что такое React2Shell (CVE-2025-55182 / CVE-2025-66478)?

React2Shell — критическая уязвимость удалённого выполнения кода в React Server Components (RSC). В самом React она отслеживается как CVE-2025-55182, а для её последствий в приложениях Next.js, использующих App Router, — как CVE-2025-66478.

В уязвимых версиях протокол RSC можно было заставить выполнить небезопасную десериализацию данных, контролируемых злоумышленником. Эти данные затем могли напрямую вызывать серверные API и выполнять произвольные команды оболочки через Node.js:

  • Злоумышленник отправляет специально сформированный HTTP-запрос на уязвимую конечную точку.
  • Сервер обрабатывает вредоносные данные RSC и в итоге выполняет произвольные команды внутри процесса Node.js.
  • Эти команды выполняются с теми же привилегиями, что и веб-приложение на этом сервере.

Уязвимость получила оценку CVSS 10.0 (критическая) и активно эксплуатировалась в реальных атаках на необновлённые приложения.

Что произошло на apptesters.org?

Наш основной сайт apptesters.org работает на Next.js с React Server Components. Во время глобальной волны эксплуатации React2Shell злоумышленники добились удалённого выполнения кода на этом рабочем веб-сервере.

Анализ журналов и процессов показал следующее:

  • Вредоносный трафик вызывал команды Node.js, пытаясь загрузить и запустить типовые вредоносные программы и компоненты ботнетов.
  • Предпринимались многочисленные попытки загрузить исполняемые файлы и скрипты с внешних командных серверов и закрепиться в системе.
  • Эти попытки в основном провалились, поскольку приложение работало в изолированном контейнере без постоянной оболочки, без глобального менеджера пакетов и со строгими ограничениями ресурсов.
  • Не обнаружено признаков утечки данных, сбора учётных данных или перемещения с этого хоста к нашим облачным бэкендам.

Что мы сделали для защиты наших систем

Наши действия были направлены на устранение уязвимости, удаление возможного вредоносного ПО и усиление контроля доступа, чтобы ограничить последствия подобных проблем в будущем.

1. Обновили стек приложения

Обновили Next.js до 15.3.6 с помощью официального инструмента fix-react2shell-next, чтобы использовать защищённую реализацию React Server Components.

2. Удалили подозрительные артефакты

Провели поиск известных признаков майнеров и ботнетов, удалили все неизвестные исполняемые файлы и скрипты и убедились, что не осталось вредоносных служб или заданий cron.

3. Усилили защиту SSH

Ограничили вход по SSH только доступом root по ключу, проверили авторизованные ключи и ужесточили конфигурацию, чтобы сократить количество точек удалённого входа.

4. Добавили блокировки на уровне сети

Добавили явные правила межсетевого экрана, блокирующие связь с известными вредоносными IP-адресами командных серверов, связанных с этой кампанией.

5. Улучшили мониторинг и проверки состояния

Включили лёгкий мониторинг состояния ключевых процессов и добавили механизмы для обнаружения аномального использования ресурсов на сервере.

6. Задокументировали и продолжим улучшения

Подготовили эту публичную сводку об инциденте и более подробный внутренний отчёт, чтобы продолжать повышать уровень нашей безопасности.

Что это значит для ваших данных

Самый важный вопрос — затронул ли этот инцидент ваши данные. Исходя из нашей архитектуры и результатов расследования:

Где на самом деле хранятся ваши данные

  • Аккаунты клиентов, заказы, идентификаторы устройств (UDID) и рабочие данные хранятся в наших управляемых облачных бэкендах (сервисы Google / Amazon).
  • На этом веб-сервере размещены только фронтенд Next.js и слой API, взаимодействующий с этими бэкендами; полные копии этих данных на диске не хранятся.
  • Мы не обнаружили признаков того, что злоумышленники получили доступ к этим облачным системам или к каким-либо записям клиентов.

Коротко: инцидент затронул серверную среду интерфейса, а не базы данных, где хранится ваша информация.

Опережаем проблемы безопасности

Мы серьёзно относимся к инцидентам, даже когда данные клиентов не раскрыты. Этот бюллетень — часть нашего обязательства открыто рассказывать о том, что произошло и как мы реагируем.

Обзор безопасности