Poucos dias após a divulgação do Vulnerabilidade crítica do React2Shell, rastreado como CVE-2025-55182, os agentes ameaçadores estão ativamente explorando a falha na natureza.
A vulnerabilidade possui uma pontuação CVSS v3.1 de 10, a maior severidade possível.
Serviços Web da Amazon (AWS) confirmou que grupos de ameaça como Earth Lamia e Jackpot Panda, ambos ligados a interesses do Estado chinês, estão entre os que lançam tentativas de exploração.
Earth Lamia é conhecida por explorar vulnerabilidades de aplicações web para atingir organizações na América Latina, Oriente Médio e Sudeste Asiático.
Historicamente, o grupo tem como alvo setores como serviços financeiros, logística, varejo, empresas de TI, universidades e organizações governamentais.
Jackpot Panda tem como alvo principal entidades do Leste e Sudeste Asiático.
Mais de dois milhões de instâncias potencialmente afetadas pelo React2Shell
Existem várias exploits funcionais de prova de conceito (PoC) para CVE-2025-55182.
A rápida armamento dos PoCs ressalta o fato de que atores de ameaça sofisticados não perdem tempo em transformar vulnerabilidades em explorações operacionais.
Enquanto isso, o Fundação Shadowserver identificou mais de 77.000 IPs vulneráveis após uma análise de serviços HTTP expostos em uma grande variedade de dispositivos de borda expostos e outras aplicações.
Censys observado Pouco mais de 2,15 milhões de casos de serviços voltados para a internet que podem ser afetados por essa vulnerabilidade. Isso inclui serviços web expostos usando Componentes de Servidor React e instâncias expostas de frameworks como Next.js, Waku, React Router e RedwoodSDK.
O bug é uma vulnerabilidade de execução remota de código (RCE) pré-autenticação que existe nas versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0 dos Componentes do Servidor React. React emitiu um Aviso de Segurança com os patches e atualizações relevantes em 3 de dezembro.
Qualquer servidor acessível pela internet que execute o código afetado dos Componentes do Servidor React deve ser considerado vulnerável até ser atualizado como precaução, alertaram pesquisadores de segurança.
Além do impacto de uma possível exploração maliciosa, a remediação da falha também pode ter consequências adversas. Por exemplo, em 5 de dezembro de 2025, ocorreram falhas significativas que afetaram a rede da Cloudflare. Desde então, o provedor de rede de internet tem feito inveterado que o incidente foi desencadeado por mudanças feitas na lógica de análise corporal ao tentar detectar e mitigar a vulnerabilidade do React2Shell.
Pessoas de Racioc: Nem Todas Criadas Iguais
A investigação da AWS apontou que atores ameaçadores usam tanto ferramentas de varredura automatizada quanto exploits individuais de PoC.
Alguns desses agentes maliciosos estão monitorando novas divulgações de CVE e rapidamente integram exploits públicos em sua infraestrutura de varredura.
No entanto, a AWS observou que muitos agentes de ameaça estão tentando usar PoCs públicos que não funcionam em cenários do mundo real.
Anteriormente, a empresa de segurança JFrog também alertou que existem PoCs falsos disponíveis no GitHub e observou que alguns desses tipos de projetos frequentemente contêm código malicioso.
Muitos dos PoCs públicos contêm imprecisões técnicas, segundo a AWS. No entanto, atores ameaçadores ainda estão tentando usá-los.
A AWS afirmou que o uso desses pontos de vista mostra que os agentes ameaçadores priorizam a operacionalização rápida em vez de testes minuciosos, tentando explorar alvos com qualquer ferramenta disponível.
Usar múltiplos PoCs para escanear ambientes vulneráveis também dá aos atores ameaçadores uma chance maior de identificar configurações vulneráveis, mesmo que os PoCs não estejam funcionais.
A disponibilidade dos PoCs também permite que atores menos sofisticados participem de campanhas de exploração.
Por fim, a AWS observa que até tentativas fracassadas de exploração geram ruído significativo nos logs, potencialmente mascarando ataques mais sofisticados.
As PoCs inválidas podem dar aos desenvolvedores uma falsa sensação de segurança ao testar o React2Shell.
Em um repositório dedicado ao React2Shell, Lachlan Davidson, o pesquisador de segurança que descobriu a vulnerabilidade escreveu: “Muitos desses ‘PoCs’ foram referenciados em publicações, e até em alguns agregadores de vulnerabilidades. Estamos preocupados que isso possa levar a falsos negativos ao avaliar se um serviço é vulnerável, ou a falta de preparação se ou quando uma pessoa de cor genuína aparecer.”