Benvenuto su Hackerpunk — la redazione che segue in diretta frodi digitali, data breach, ransomware e indagini sul crimine informatico. Reportage, timeline degli attacchi e approfondimenti per restare un passo avanti alle minacce.
Benvenuto su Hacking News Live 24h , la fonte in tempo reale per tutte le news di hacking, cybercrime e cybersecurity.
Aggiorniamo costantemente le notizie 24 ore su 24 con report tecnici, indagini digitali e analisi sugli attacchi più recenti.
Il ciclo di divulgazione delle vulnerabilità è entrato in una nuova era, in cui il divario tra la pubblicazione e l'armamento si misura in minuti, non in giorni. È stato confermato che gli autori di minacce legate alla Cina hanno iniziato a sfruttare attivamente una falla critica nei componenti di React Server, React2Shell, solo poche ore dopo la sua pubblicazione.
La vulnerabilità, identificata come CVE-2025-55182, ha un impatto sui componenti del server React nelle distribuzioni React 19.x e Next.js 15.x/16.x che utilizzano App Router e ha un livello di gravità CVSS 10.0, consentendo l'esecuzione di codice remoto (RCE) non autenticato.
La CISA ha immediatamente aggiunto la falla al suo catalogo delle vulnerabilità note sfruttate, affermando: "La CISA ha aggiunto una nuova vulnerabilità al suo catalogo delle vulnerabilità note sfruttate (KEV), sulla base di prove di sfruttamento attivo".
I PoC del ricercatore e il meccanismo di sfruttamento
Lachlan Davidson, a cui è stata attribuita la scoperta di questa falla, ha pubblicato i PoC originali su GitHub, spiegando:
"Dato che i PoC pubblici stanno circolando e lo Scanner di Google utilizza una variante del mio PoC originale inviato, è finalmente giunto il momento responsabile di condividere i miei PoC originali per React2Shell."
Davidson ha rilasciato tre PoC, 00-very-first-rce-poc, 01-submitted-poc.js e 02-meow-rce-poc, e ha riassunto la catena di attacco:
Ha anche osservato che "il PoC ricreato pubblicamente... utilizzava altrimenti lo stesso gadget _formData del mio", sebbene la primitiva di concatenamento nella sua implementazione di allora non fosse universalmente adottata.
La rapida militarizzazione da parte dei gruppi China-Nexus
AWS ha rilevato l'inizio dello sfruttamento entro poche ore dalla divulgazione al pubblico del 3 dicembre, basandosi sulla telemetria della sua infrastruttura honeypot MadPot. Tra gli autori figurano:
AWS ha affermato: "La Cina continua a essere la fonte più prolifica di attività di minacce informatiche sponsorizzate dallo Stato, con gli autori delle minacce che mettono regolarmente in atto exploit pubblici entro poche ore o giorni dalla divulgazione".
Gli aggressori hanno dato priorità schiacciante alla velocità rispetto alla precisione, inviando PoC pubblici imperfetti e incompleti su ampie porzioni di Internet in un'ondata di scansioni ad alto volume. Molti PoC si basavano su ipotesi irrealistiche, come l'esposizione di moduli fs, vm o child_process che non compaiono mai nelle distribuzioni reali.
Tuttavia, questa strategia basata sul volume identifica ancora configurazioni vulnerabili nei casi limite.
Analisi tecnica: React2Shell nel protocollo di volo RSC
CRIL (Cyble Research and Intelligence Labs) ha scoperto che, in sostanza, CVE-2025-55182 (React2Shell) è una falla di deserializzazione non sicura nel protocollo Flight dei componenti del server React. Riguarda:
