Bitdefender Advisory – React2Shell - aktuelle, kritische Sicherheitslücke

Am 3. Dezember 2025 wurde eine kritische Schwachstelle zur Remotecodeausführung (Remote Code Execution, RCE) im React-Ökosystem bekannt gegeben, die für Unternehmen einen unmittelbaren Notfall darstellt. Die Kernschwachstelle (CVE-2025-55182) ermöglicht es nicht authentifizierten, entfernten Angreifern, bösartigen Code auf betroffenen Servern auszuführen, indem sie manipulierte Webanfragen senden – ohne jegliche Anmeldung.
Obwohl die Schwachstelle ihren Ursprung in der Logik des React-„Flight“-Protokolls hat, breitet sie sich auf viele nachgelagerte Frameworks und Bundler aus, insbesondere Next.js und Vite, und betrifft somit ein breiteres Ökosystem.
Wir stufen diese Schwachstelle auf einem ähnlichen Niveau ein wie Log4j aus dem Jahr 2021. Es ist bereit ein Proof-of-Concept (PoC)-Code öffentlich verfügbar, und wir beobachten, dass Ransomware-as-a-Service (RaaS)-Gruppen und Initial Access Brokers (IABs) diese Lücke derzeit als Waffe einsetzen, um in Unternehmensnetzwerken Fuß zu fassen. Dies lässt Unternehmen nur ein sehr kurzes Zeitfenster, um ihre Umgebungen abzusichern, da automatisierte Angriffe bereits begonnen haben.

Sofortiges Handeln erforderlich
Unternehmen sollten diesen Vorfall als Notfall behandeln. Die Zeitspanne zwischen der automatisierten Bereitstellung einer Shell und dem manuellen Ausbruch („Breakout“) ist Ihr Handlungsfenster. Nutzen Sie diese kurze Zeit, um Systeme zu patchen, bösartigen Datenverkehr zu blockieren und die DMZ auf Lateral Movement (seitliche Bewegungen im Netzwerk) zu überwachen, bevor die manuelle Angriffsphase beginnt.

• Behebung (Mitigate): Patchen Sie betroffene Systeme oder blockieren Sie den Datenverkehr unverzüglich.
• Überwachung (Monitor): Achten Sie genau auf Lateral Movement, das von der DMZ ausgeht.
• Verfolgung (Track): Bleiben Sie wachsam in Bezug auf veröffentlichte Indikatoren für eine Kompromittierung (IOCs).

Wir haben eine Liste wichtiger Empfehlungen für unsere Kunden und Partner erstellt und eine ausführliche Sicherheitswarnung zu den Schritten herausgegeben, die wir allen Kunden zur sofortigen Umsetzung empfehlen.

Um auf dem Laufenden zu bleiben, empfehlen wir Ihnen:

• Lesen Sie diesen wichtigen Security Advisory.
• Sehen Sie sich die Aufzeichnung unserer Live-Diskussion auf LinkedIn an.
• Abonnieren Sie unseren Newsletter "Control-Alt-Decode", um hier über Sicherheitshinweise benachrichtigt zu werden.

Weiterhin ist es ratsam, Ihre eigene Umgebung auf Auffälligkeiten zu überprüfen. Möglichkeiten zur Erkennung:

• EDR & XDR-Sensoren zur Erkennung von Lateral Movement
• External Attack Surface Management zur frühzeitigen Erkennung möglicher verwundbarer Software-Komponenten