React2Shell i wyścig z czasem. Vercel łata krytyczną dziurę w Next.js

Dzień dobry w niedzielę! Mam nadzieję, że Wasz weekend mija spokojnie, chociaż jeśli jesteście devami używającymi Next.js, to dzisiejszy poranek może wymagać podwójnego espresso. W świecie cyberbezpieczeństwa zrobiło się gorąco za sprawą nowej podatności, która otrzymała dźwięczną, choć mrożącą krew w żyłach nazwę: "React2Shell" (CVE-2025-55182). Jak pisaliśmy wcześniej, luka ta otrzymała maksymalną ocenę CVSS 10.0 – naprawdę nie ma tu miejsca na bagatelizowanie.

O co chodzi?

Mówiąc krótko: mamy do czynienia z błędem w React Server Components, który uderza w aplikacje oparte na Next.js. Problem dotyczy wersji frameworka od 15.0.0 do 16.0.6. Jeśli Twoja aplikacja działa na którejś z nich – jesteś na celowniku.

Sytuacja jest poważna, bo jak donosi Vercel, w sieci hulają już publicznie dostępne exploity (Proof-of-Concept), a pierwsze skany i próby ataków zostały odnotowane w logach. "React2Shell" to nie przelewki – nazwa sugeruje możliwość uzyskania dostępu do powłoki (RCE - Remote Code Execution), co dla każdego admina jest scenariuszem rodem z koszmaru.

Reakcja Vercel – tarcza i miecz

Trzeba oddać zespołowi Vercel, że nie zasypiali gruszek w popiele. Zanim CVE zostało oficjalnie ogłoszone światu, firma zdążyła wdrożyć reguły na swoim WAF (Web Application Firewall), które blokują znane wzorce ataków. Co więcej:

• Wprowadzono blokadę nowych wdrożeń (deployments) dla projektów korzystających z dziurawych wersji Next.js.
• Udostępniono narzędzie do szybkiej naprawy: npx fix-react2shell-next.
• Podzielono się wiedzą z innymi dostawcami CDN i WAF, żeby chronić szerszą społeczność.

Wszystkie te działania to tzw. "defense-in-depth", ale pamiętajcie – WAF to tylko plaster. Jedynym pewnym lekarstwem jest aktualizacja paczek. Co ciekawe, ta luka odegrała rolę w niedawnej awarii Cloudflare – gdy firma zmieniała reguły WAF w odpowiedzi na React2Shell, doszło do kaskadowego błędu, który zatrzymał 28% internetu.

Polowanie na błędy (i nagrody)

Vercel jest na tyle pewny swoich zabezpieczeń (lub na tyle zdeterminowany, by je uszczelnić), że nawiązał współpracę z platformą HackerOne. Za znalezienie sposobu na obejście ich zabezpieczeń w kontekście tego konkretnego CVE płacą naprawdę solidnie:

• 25 000 USD za błędy o wysokim priorytecie (High).
• 50 000 USD za błędy krytyczne (Critical).

Jeśli więc macie wolne popołudnie i smykałkę do łamania zabezpieczeń, możecie spróbować swoich sił.

Co musisz zrobić TERAZ?

Nie licz na to, że "jakoś to będzie", bo Twój startup jest mały. Boty nie dyskryminują.

1. Sprawdź wersję Next.js: Zajrzyj do package.json lub wpisz next.version w konsoli przeglądarki na swojej stronie.
2. Zaktualizuj: Jeśli jesteś w przedziale 15.0.0 – 16.0.6, natychmiast podbij wersję do załatanej.
3. Monitoruj: Vercel sugeruje przeglądanie logów pod kątem nietypowych żądań POST, choć ostrzegają, że same timeouty funkcji nie muszą oznaczać udanego ataku (mogą to być po prostu skany).

Dla klientów Vercel na dashboardzie pojawił się specjalny baner informujący, czy ich produkcyjne wdrożenie jest zagrożone. Traktujcie to jako czerwoną lampkę alarmową.

Wnioski: Kiedy "Zero Day" Przestaje Być Cyfrowym Mitem

CVE-2025-55182 to nieprzyjemne przypomnienie, że nawet kod pisany przez najlepszych inżynierów świata, wspierany finansowo przez Meta i Vercel, nie jest wolny od fundamentalnych błędów.

Kontekst: Luki 0-Day: Niewidzialna Broń - Kompleksowa analiza zjawiska zero-day, od anatomii technicznej przez czarny rynek, aż po strategie obrony.

Bezpiecznego kodowania i (mimo wszystko) spokojnej reszty weekendu!

Aleksander

Źródła: Vercel Blog - Resources for protecting against 'React2Shell'