React2Shell (CVE-2025-55182): RCE in React Server Components & Next.js – Betroffenheit prüfen & Sofortmaßnahmen

Stand: 11. Dezember 2025 – zuletzt aktualisiert

React2Shell (CVE-2025-55182) ist eine kritische Remote-Code-Execution-Schwachstelle in React Server Components und insbesondere in Next.js-App-Router-Setups. Ein einziger, speziell präparierter HTTP-Request kann ausreichen, um beliebigen Code auf Ihrem Server auszuführen – ohne Login, ohne Benutzerinteraktion. [Security Advisory]

Dieser Beitrag ist für Teams gedacht, die schnell entscheiden müssen: Bin ich betroffen? Und wenn ja: Was muss ich heute tun? Sie bekommen eine klare Betroffenheitsprüfung, Sofortmaßnahmen (Patch/Workaround/Detection) und Lessons Learned für Startups & KMU.

1. React2Shell in 60 Sekunden: Einordnung & Kontext

React2Shell wurde im Kontext der neuen React Server Components bekannt. Das React-Team veröffentlichte koordinierte Advisories und Fixes. [Security Advisory]

Der Vergleich zu Log4Shell kommt nicht von ungefähr: Auch hier kann in bestimmten Setups eine RCE ohne Login möglich sein – und Threat-Intelligence Quellen berichten über aktive Ausnutzung. [Threat Intelligence]

2. Was ist React2Shell (CVE-2025-55182)? Eine Erklärung in einfachen Worten

React2Shell ist eine kritische Schwachstelle im Server-Teil der React Server Components (Flight-Protokoll). Angreifer können präparierte Daten so einspeisen, dass der Server diese am Ende wie Code behandelt. [Deep Dive]

3. Bin ich betroffen? Quick Check in 3 Minuten

Der wichtigste Punkt: Client-only React (SPA im Browser) ist in der Regel nicht direkt betroffen. Kritisch wird es, wenn Ihr Setup serverseitig RSC/SSR nutzt (z.B. Next.js App Router). [Security Advisory]

3.1 Schnelltest per Dependency-Liste

# Im Repo ausführen:
node -v
npm ls next react react-dom react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel

# Wenn du pnpm/yarn nutzt:
pnpm why next react react-dom
yarn why next react react-dom
  

3.2 Entscheidungsregel

• Next.js App Router (app/) + serverseitiges Rendering/RSC → als kritisch behandeln.
• Pages Router (pages/) ohne RSC → meist nicht betroffen, trotzdem Updates prüfen.
• Reines React-Frontend (Vite/CRA) ohne SSR → in der Regel nicht betroffen.

4. Wie funktioniert die Lücke technisch?

Technisch wird React2Shell häufig als Form unsicherer Deserialisierung eingeordnet: Der Server verarbeitet strukturierte Daten aus dem Flight-Stream und vertraut an mehreren Stellen dem Format zu sehr. [Deep Dive]

Für die Praxis entscheidend: Die Ausnutzung benötigt keine geheimen Informationen. Ein öffentlich erreichbarer RSC-/Server-Action-Endpunkt kann ausreichen, damit Scanner/Angreifer automatisiert testen. [Use Case]

5. Betroffene Frameworks & Versionen

Betroffen ist primär der Server-Anteil von React 19 und Frameworks, die RSC in bestimmten Versionen integrieren. [Security Advisory]

5.1 React / React Server Components

• Besonders relevant sind RSC-Pakete wie react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack in betroffenen Releases.
• Nutzen Sie die offiziellen Advisories/Release-Zweige für die gefixten Versionen. [Security Advisory]

5.2 Next.js

Besonders relevant: Next.js mit App Router. Prüfen Sie Ihre Version und patchen Sie gemäß den Security-Guides. [Mitigation Guide]

6. Typische Angriffsszenarien

In der Praxis sehen wir häufig: Erstzugriff → Secrets/Env auslesen → Cloud-Pivoting → Persistenz. Das Risiko betrifft damit nicht nur die App, sondern oft die gesamte Plattform. [Threat Intelligence]

1. Recon & Secrets: Auslesen von process.env, .env, Configs. [Use Case]
2. Cloud Pivoting: Zugriff auf Cloud-Ressourcen mit Tokens/Keys. [Deep Dive]
3. Supply Chain: npm/Git/Registry-Tokens missbrauchen. [Deep Dive]

7. Erkennung & Indicators of Compromise (IoCs)

Da Exploits über reguläre HTTP-Requests laufen, ist Detection nicht immer trivial. Achten Sie auf Muster in HTTP/WAF-Logs und auf ungewöhnlichen Egress-Traffic. [Mitigation Guide]

7.1 Schnelle Checks

• Spike an POST-Requests zu RSC/Action-Endpunkten, ungewöhnliche Bodies, 5xx-Spitzen
• Unbekannte ausgehende Verbindungen (IP/DNS), ggf. lange/auffällige DNS-Hostnames
• Neue Prozesse/Binaries in /tmp, /dev/shm, auffällige CPU-Last

8. Sofortmaßnahmen & Patch-Strategie

Für kleine Teams zählt jetzt vor allem Priorisierung: Betroffene Systeme patchen, dann rückwirkend prüfen, dann Prozesshärtung. [Mitigation Guide]

8.1 Beispiel: Update pragmatisch ausrollen

# Beispiel: Next.js/React aktualisieren (Versionen an eure Advisories anpassen)
npm install next@latest react@latest react-dom@latest

# Clean rebuild
rm -rf node_modules .next
npm install
npm run build
  

9. Lessons Learned für Startups & KMU

React2Shell ist ein Reminder: Dependency-Security ist Business-kritisch. Wer Updates, Ownership und Monitoring etabliert, reduziert Risiko massiv — ohne Over-Engineering. [Use Case]

10. Häufige Fragen zu React2Shell

10.1 Sind wir betroffen, wenn wir nur eine React-Frontend-App haben?

Wenn Ihre Anwendung ausschließlich im Browser rendert und keine React Server Components oder Fullstack-Frameworks wie Next.js einsetzt, sind Sie in der Regel nicht direkt betroffen. Nutzen Sie jedoch SSR- oder Fullstack-Features, ist eine genaue Prüfung Pflicht. [Explainer]

10.2 Reicht es, eine WAF-Regel zu aktivieren?

WAF-Regeln können temporär helfen, ersetzen aber nicht das Einspielen der Patches. Ein Update auf eine nicht verwundbare Version ist der einzige nachhaltige Fix. [Threat Intelligence]

10.3 Müssen wir unsere Kund:innen aktiv informieren?

Das hängt davon ab, ob es Hinweise auf eine Kompromittierung und einen Datenabfluss gibt. Ohne solche Hinweise genügt oft eine interne Dokumentation. Bei konkreten Anzeichen können gesetzliche Meldepflichten greifen – holen Sie im Zweifel Rechtsberatung ein.

10.4 Wie können wir uns besser auf die nächste -Shell vorbereiten?

Abonnieren Sie Advisories, nutzen Sie SCA in allen Repos, planen Sie feste Update-Fenster und definieren Sie Ownership. Ein Security-Champion im Dev-Team hilft enorm – auch bei wenig Zeitbudget. [Use Case]

Weitere Artikel finden Sie in der Blog-Übersicht.