Un nouveau bug de React capable de vider tous vos tokens impacte « des milliers de » sites web

Un vulnérabilité critique dans React Server Components est activement exploité par plusieurs groupes de menace, mettant des milliers de sites web — y compris des plateformes crypto — en risque immédiat avec des utilisateurs pouvant potentiellement voir l’intégralité de leurs actifs drainés, en cas d’impact.

La faille, référencée sous le numéro CVE-2025-55182 et surnommée React2Shell, permet aux attaquants d'exécuter du code à distance sur les serveurs affectés sans authentification. Les mainteneurs de React ont révélé le problème le 3 décembre et lui ont attribué la note de gravité la plus élevée possible.

Peu après la divulgation, GTIG a observé une exploitation généralisée de la part de criminels motivés par des gains financiers ainsi que de groupes de hackers soupçonnés d’être soutenus par des États, ciblant des applications React et Next.js non corrigées dans divers environnements cloud.

Ce que fait la vulnérabilité

Les React Server Components sont utilisés pour exécuter des parties d'une application web directement sur un serveur au lieu du navigateur de l'utilisateur. La vulnérabilité provient de la manière dont React décode les requêtes entrantes vers ces fonctions côté serveur.

En termes simples, les attaquants peuvent envoyer une requête web spécialement conçue qui trompe le serveur pour exécuter des commandes arbitraires, ou en fait céder le contrôle du système à l'attaquant.

Le bug affecte les versions 19.0 à 19.2.0 de React, y compris les packages utilisés par des frameworks populaires tels que Next.js. Le simple fait d'avoir ces packages vulnérables installés est souvent suffisant pour permettre une exploitation.

Comment les attaquants l’utilisent

Le Google Threat Intelligence Group (GTIG) a documenté plusieurs campagnes actives utilisant cette faille pour déployer des logiciels malveillants, des portes dérobées et des logiciels de minage de cryptomonnaies.

Certains attaquants ont commencé à exploiter la faille quelques jours après sa divulgation afin d’installer un logiciel de minage de Monero. Ces attaques consomment discrètement les ressources des serveurs et l’électricité, générant des profits pour les attaquants tout en dégradant la performance des systèmes pour les victimes.

Les plateformes crypto s'appuient fortement sur des frameworks JavaScript modernes tels que React et Next.js, gérant souvent les interactions avec les portefeuilles, la signature des transactions et les approbations de permis via le code front-end.

Si un site web est compromis, des attaquants peuvent injecter des scripts malveillants qui interceptent les interactions avec les portefeuilles ou redirigent les transactions vers leurs propres portefeuilles — même si le protocole blockchain sous-jacent reste sécurisé.

Cela rend les vulnérabilités côté front particulièrement dangereuses pour les utilisateurs qui signent des transactions via des portefeuilles de navigateur.