Критический баг в React Server: RCE без авторизации уже эксплуатируют

Критический баг в React Server: RCE без авторизации уже эксплуатируют

Критический баг в React Server: RCE без авторизации уже эксплуатируют

В экосистеме React вскрылась серьёзная проблема — настолько серьёзная, что ей сразу выдали максимальный балл по CVSS 10.0. Уязвимость затрагивает React Server Components и позволяет злоумышленнику удалённо запускать произвольный код на сервере, даже не проходя аутентификацию.

Проблема кроется в том, как React Server Functions принимают и разбирают данные, отправленные из браузера. Клиент генерирует HTTP-запрос к серверной точке, React пытается распарсить содержимое — и именно на этапе этой «разборки» злой запрос может заставить сервер выполнить код, которого там быть не должно.

Если в проекте включена поддержка React Server Components, даже без фактического использования React Server Functions — уязвимость всё равно в зоне риска.

1 декабря команда React выпустила исправление и начала сотрудничать с хостинг-провайдерами и open-source проектами, чтобы обновления прокатились как можно быстрее. 3 декабря уязвимость внесли в реестр как CVE-2025-55182, а исследователи уже выложили PoC — прототип эксплуатации, демонстрирующий, как именно можно сломать сервер. Другими словами, ждать появления массовых эксплойтов долго не придётся.

Лука Сафонов, бизнес-партнёр по инновационному развитию ГК «Гарда», предупреждает: уязвимости такого уровня мгновенно становятся магнитом для атак.

Даже если приложение не использует серверные функции напрямую, но поддержка React Server Components включена, риск всё равно есть. Спасти положение могут решения класса WAF, которые закрывают дыры нулевого дня и блокируют попытки эксплуатации.

React-команде сейчас явно не до спокойных выходных: уязвимость критическая, PoC доступен, а экосистема огромна. Обновляться нужно как можно быстрее — и без отлагательств.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Среднестатистический хакер — не юнец, а его дядюшка

В Orange Cyberdefense обработали данные о 418 инцидентах, попавших в поле зрения правоохранительных органов в период с 2021 года по середину 2025-го, и обнаружили, что 37% идентифицированных авторов атак — мужчины 35-44 лет.

Еще 30% выявленных преступников — представители возрастной группы от 25 до 34 лет. Доля тинейджеров и 45+ в этой выборке оказалась одинаковой — по 5%.

Первая в своем роде статистика приведена в особом разделе отчета о киберугрозах Security Navigator 2026 французской ИБ-компании. Полученные результаты опровергают бытующее представление о том, что хакерство в основном прерогатива юнцов вроде Scattered Lapsus$ Hunters, часто попадающих в заголовки профильных СМИ.

Поведение возрастных групп киберкриминала тоже разнится. Молодежь (от 18 до 24 лет), движимая любопытством и жаждой славы, действует импульсивно и по ситуации, стремясь заявить о себе громкими взломами, DDoS-атаками и мелкими кражами. Осознание, что из таких «подвигов» можно извлечь материальную выгоду, приходит к ним позднее.

Гораздо больший урон обитателям всемирной паутины наносят преступники, достигшие зрелого возраста (35-44). Они действуют прицельно, обстоятельно и воспринимают свою противозаконную деятельность как способ заработка, занимаясь в основном вымогательством, разработкой зловредов, кибершпионажем и отмыванием денег.

Примечательно, что 90% выявленных авторов атак — мужчины. Национальный состав киберпреступников по выборке оказался следующим:

  • россияне — 23%;
  • американцы — 11%;
  • китайцы — 11%;
  • украинцы — 9%;
  • граждане КНДР — 5%.

Стоит отметить, что почти половина набора данных, по которому работали эксперты, — это публикации о разгромных акциях с участием США. Имя американского Минюста было упомянуто в 16% обнародованных инцидентов, ФБР — в 12%.

Правоохрана Германии засветилась в 7% зафиксированных кейсов, Европол — в 5%, британские спецслужбы — в 3%.

Новый отчет французских экспертов о ландшафте киберугроз составлен (PDF) по результатам анализа 139 тыс. ИБ-инцидентов, внесенных в банк данных Orange Threat Intelligence и базы сторонних OSINT в период с октября 2024 года по сентябрь 2025-го.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru