Ini penjelasan lengkap santai tentang React2Shell – kerentanan dengan skor CVSS 10.0 (maksimal, alias bahaya banget ) yang lagi dieksploitasi massal di React 19 dan Next.js.
Apa Maksudnya Secara Sederhana? 😱
Bayangin server kamu yang jalankan aplikasi web pakai React Server Components (fitur baru di React 19 buat render bagian app di server biar lebih cepat). Ada protokol namanya "Flight" yang ngurus komunikasi antara browser (client) dan server.
Kerentaannya: Server terlalu percaya sama data yang dikirim dari client. Saat server "membaca ulang" (deserialization) data itu, kalau data-nya dibikin jahat (crafted payload), server bisa dieksekusi kode arbitrary (kode apa aja yang attacker mau) tanpa perlu login atau password.
Cukup satu request HTTP aja (biasanya POST), attacker langsung kontrol penuh server – bisa jalankan command, install perangkat lunak berbahaya, curi data, dan lainnya. Bahkan kalau app kamu gak pakai server functions secara eksplisit, selama support React Server Components (RSC), tetap rentan. Default Next.js app (pakai create-next-app + App Router) langsung kena tanpa ubah kode apa-apa.
Timeline Singkat (Cepet Banget Eksploitasinya) ⏰
- 29 November 2025: Researcher Lachlan Davidson nemuin dan lapor ke tim React.
- 3 Desember 2025: Patch dirilis + ketahuan publik (CVE-2025-55182).
- Dalam hitungan jam: Hacker mulai eksploitasi massal.
- 5 Desember: 77.000+ server rentan terdeteksi, CISA (badan keamanan AS) masukin ke list "Known Exploited".
- 10 Desember: 35.000+ serangan dalam sehari (Kaspersky).
- 11 Desember: Ketemu vuln tambahan (CVE-2025-55183: bocor source code; CVE-2025-55184: DoS; plus CVE-2025-67779 karena patch awal kurang lengkap).
- 12 Desember: Google, Microsoft, AWS, dan lainnya konfirmasi banyak hacker (termasuk state-sponsored dari China & criminal) aktif serang.
- Sampai sekarang (18 Desember 2025): Masih 111.000+ server rentan globally (ShadowServer).
Siapa yang Kena? 🎯
Affected versions:
- React 19.0 sampai 19.2.2 (paket seperti react-server-dom-webpack, dan lainnya).
- Next.js 15.x & 16.x (pakai App Router).
- Framework lain: React Router, Waku, Redwood, Expo, dan lainnya yang pakai RSC.
Kalau app kamu pure client-side only (gak ada server rendering), aman bro .
Patch awal (19.0.1-19.2.1) ternyata kurang lengkap buat vuln tambahan, jadi versi aman beneran:
- React: 19.0.3, 19.1.4, atau 19.2.3
- Next.js: 14.2.35, 15.0.7+, sampai 16.0.10 (cek detail di situs resmi Next.js).
Apa yang Dilakuin Hacker Setelah Masuk? 🕵️♂️
Banyak perangkat lunak berbahaya yang udah observed:
- Crypto miner (XMRig, dan lainnya) buat nyari duit.
- Backdoor seperti ZnDoor, KSwapDoor (bikin jaringan mesh antar server compromised, pake enkripsi militer).
- RAT buat kontrol penuh: baca/tulis file, jalankan command, proxy, dan lainnya.
- Curi credential cloud (AWS, Azure, GCP).
- Operasi besar seperti "Operation PCPcat" yang udah compromise 59.000+ server buat spionase & curi data.
Ada laporan scanner skip IP China – mungkin trik biar keliatan dari sana, atau sebaliknya. Hacker pintar nih .
Cara Cek & Fix Kalau Kamu Developer 🔧
1. Cek vulnerability:
npm auditKalau ada warning "Next.js is vulnerable to RCE in React flight protocol", buruan patch!
Atau pakai scanner eksternal dari Assetnote atau Wiz.
2. Fix:
npm audit fix(kadang cukup).- Update manual ke versi aman di atas.
- Kalau Next.js:
npx fix-react2shell-next(tool resmi buat auto-update). - Kalau gak bisa patch langsung: Block header seperti "next-action" atau "rsc-action-id" di WAF (sementara doang, bukan solusi permanen).
Ini serius banget bro, mirip badai Log4Shell tapi di frontend framework terpopuler. Kalau kamu punya project pakai Next.js terbaru, cek sekarang juga deh. Stay safe ya!
Sumber: React.dev blog, Next.js blog, Wiz, Microsoft, AWS, Google Cloud, dan lainnya (update Desember 2025).