Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
React2Shell: più di 160.000 indirizzi IP vulnerabili, oltre 30 organizzazioni già colpite
CERT-AGID 29 novembre – 5 dicembre: phishing a tema Governo italiano e Agenzia delle Entrate
Iniezione indiretta di prompt: a rischio le informazioni aziendali
Dark Telegram in ritirata: aumentano le chiusure dei canali clandestini
PickleScan, scoperti tre bug 0-day che permettono di iniettare payload malevoli nei modelli ML

React2Shell: più di 160.000 indirizzi IP vulnerabili, oltre 30 organizzazioni già colpite

Dic 09, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS, Vulnerabilità 0

React2Shell, una vulnerabilità di React che consente l’esecuzione di codice da remoto, è già stata sfruttata dagli attaccanti per colpire più di 30 organizzazioni di diversi settori.

La vulnerabilità (CVE-2025-55182), scoperta dal ricercatore di sicurezza Lachlan Davidson, è stata resa nota lo scorso 3 dicembre. Il bug consente a un attaccante di “eseguire codice da remoto senza autenticazione sfruttando un errore nel modo in cui React decodifica i payload inviati agli endpoint di React Server Function“, come si legge nel blog della compagnia.

Il giorno dopo, il 4 dicembre, il ricercatore Maple3142 ha condiviso su X una PoC per dimostrare l’efficacia degli attacchi che sfruttano React2Shell contro i server React vulnerabili.

A distanza di qualche giorno, l’impatto di React2Shell appare preoccupante: secondo i dati condivisi e aggiornati quotidianamente dal gruppo ShadowServer, a oggi sono 165.712 gli indirizzi IP vulnerabili, un numero che negli scorsi giorni ha continuato ad aumentare. Stando alla mappa della distribuzione geografica degli IP, gli Stati Uniti contano la maggior parte degli indirizzi IP vulnerabili a livello globale.

Come riporta anche Bleeping Computer, da quando la vulnerabilità è stata resa nota numerosi ricercatori e compagnie di sicurezza hanno segnalato uno sfruttamento piuttosto diffuso del bug.

Secondo i report condivisi, gli attaccanti sfruttano la vulnerabilità per eseguire una prima ricognizione sui server; in seguito, tentano di sottrarre file di configurazione e credenziali AWS ed eseguono comandi arbitrari. Durante queste intrusioni, gli attaccanti hanno distribuito malware quali Snowlight e Vshell, una backdoor comunemente usata dai cyberattaccanti cinesi per muoversi lateralmente nelle reti compromesse.

I ricercatori hanno collegato agli attacchi gruppi APT cinesi come Earth Lamia, Jackpot Panda e UNC5174, un gruppo che sembrerebbe essere legato al Ministero della Sicurezza dello Stato cinese.

Per proteggersi dalla vulnerabilità, gli sviluppatori devono aggiornare React all’ultima versione ed effettuare di nuovo build e deploy delle applicazioni. La CISA ha richiesto alle agenzie federali di applicare le patch entro il 26 dicembre.

Condividi l'articolo