React2Shell: Kritische Lücke in React Server Components und Next.js
Eine kritische Lücke in React Server Components erlaubt Angreifern, ohne Anmeldung Code auf Ihrem Server auszuführen, und wird bereits aktiv ausgenutzt. Welche React- und Next.js-Anwendungen betroffen sind und was Sie jetzt sofort tun sollten.
Was ist passiert?
Am 3. Dezember 2025 hat das React-Team eine Sicherheitslücke mit der Kennung CVE-2025-55182 veröffentlicht, die inzwischen unter dem Namen „React2Shell“ bekannt ist. Gemeldet hatte sie der Sicherheitsforscher Lachlan Davidson am 29. November über das Bug-Bounty-Programm von Meta. Die Bewertung liegt bei CVSS 10.0, dem Höchstwert.
Die Ursache liegt darin, wie React Anfragen an Server-Function-Endpunkte dekodiert. Das dabei verwendete Flight-Protokoll deserialisiert Daten auf unsichere Weise. Ein Angreifer kann mit einer einzigen präparierten HTTP-Anfrage beliebigen Code auf dem Server ausführen, ohne sich vorher anmelden zu müssen.
Betroffen sind die Pakete react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack in den Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0. Behoben ist die Lücke in 19.0.1, 19.1.2 und 19.2.1. Next.js führt das Problem als CVE-2025-66478: Verwundbar sind Anwendungen mit App Router unter Next.js 15.x und 16.x sowie Canary-Versionen ab 14.3.0-canary.77. Laut React-Team kann eine Anwendung auch dann angreifbar sein, wenn sie selbst gar keine Server Functions implementiert, solange sie React Server Components unterstützt. Ein frisch mit create-next-app erzeugtes Projekt genügt.
Neben Next.js nennt das React-Team weitere betroffene Frameworks und Bundler, darunter React Router, Waku, @vitejs/plugin-rsc, @parcel/rsc und RedwoodSDK. Sicherheitsforscher beobachten seit dem 4. Dezember aktive Angriffe, laut AWS unter anderem durch Gruppen mit Verbindungen nach China.
Warum betrifft Sie das?
Next.js ist für viele Unternehmenswebsites, Kundenportale und Shops die Basis. Eine Lücke, die ohne Anmeldung zur Codeausführung führt, bedeutet im schlimmsten Fall: Angreifer lesen Umgebungsvariablen mit Datenbank-Passwörtern und API-Schlüsseln aus, installieren Schadsoftware oder nutzen den Server als Sprungbrett ins interne Netz. Berichten zufolge versuchten Angreifer genau das, unter anderem den Diebstahl von Cloud-Zugangsdaten.
Nicht betroffen sind reine Client-Anwendungen ohne Server sowie Projekte, die kein Framework mit Unterstützung für React Server Components einsetzen. Next.js-Anwendungen mit Pages Router, die Edge Runtime sowie stabile Versionen von Next.js 13 und 14 sind laut Next.js-Team ebenfalls nicht betroffen.
Was Sie jetzt tun sollten
- Inventar erstellen: Listen Sie alle Anwendungen auf, die React 19 oder Next.js nutzen, auch interne Tools, Prototypen und Projekte von Agenturen oder Freelancern.
- Versionen prüfen: Im Projektverzeichnis zeigt npm die tatsächlich installierten Versionen:
npm ls next react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel
- Patchen: Aktualisieren Sie auf die gepatchte Version Ihrer Release-Linie, für Next.js mindestens 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 bzw. 16.0.7. Das Next.js-Team stellt zusätzlich ein Hilfswerkzeug bereit:
npx fix-react2shell-next
- Neu bauen und deployen: Ein Update der
package.jsonallein reicht nicht. Lockfile aktualisieren, Container-Images neu bauen und in allen Umgebungen ausrollen. - Geheimnisse rotieren: Wenn Ihre Anwendung am 4. Dezember ungepatcht online war, empfiehlt das Next.js-Team, alle genutzten Secrets zu erneuern, beginnend mit den kritischsten.
- Logs prüfen: Suchen Sie nach auffälligen POST-Anfragen und unerwarteten Prozessen auf Ihren Servern.
- WAF nur als Überbrückung: Cloud-Anbieter wie Cloudflare, AWS oder Vercel haben Filterregeln ausgerollt. Diese fangen bekannte Angriffsmuster ab, ersetzen aber kein Update. Einen Workaround per Konfiguration gibt es laut Next.js nicht.
Fazit
React2Shell gehört zu den gravierendsten Lücken im JavaScript-Ökosystem der letzten Jahre: maximal bewertet, einfach auszunutzen und bereits aktiv angegriffen. Wer React Server Components oder Next.js mit App Router einsetzt, sollte heute patchen und nicht auf das nächste Release-Fenster warten. Wenn Sie Hilfe bei der Bestandsaufnahme oder beim Update Ihrer Anwendungen brauchen, sprechen Sie uns an.