Nova kritična ranljivost u React Server Components (RSC) izazvala je uzbunu širom IT sektora krajem 2025. godine. Pod oznakom CVE-2025-55182, propust je dobio maksimalnu CVSS ocjenu 10.0, što ga automatski svrstava među najopasnije tipove sigurnosnih prijetnji — uključujući i ozloglašeni Log4Shell.
Iako stručnjaci upozoravaju da React2Shell ne predstavlja istu razinu sistemske prijetnje kao Log4Shell, činjenica da se napadi odvijaju samo nekoliko sati nakon objave ranjivosti pokazuje koliko je globalni ekosistem postao osjetljiv na ovakve sigurnosne propuste.
Prvi napadi zabilježeni u roku od nekoliko sati
Ranljivost pogađa RSC u verzijama 19.0.0, 19.1.0, 19.1.1 i 19.2.0, a napadačima omogućava daljinsko izvršavanje koda putem posebno oblikovanog HTTP zahtjeva prema React/Next.js serverima.
Samo pet dana nakon javne objave, više od 30 kompanija širom različitih sektora već je prijavilo kompromitacije. Posebno su bili aktivni kineski državni akteri, potvrdio je AWS, koji je zahvaljujući honeytokenima i unaprijed pripremljenim firewall pravilima uspio brzo uočiti prijetnje.
No, stručnjaci upozoravaju: mnogi drugi napadači i dalje targetiraju ranjive instance, posebno organizacije koje sporije reaguju na sigurnosne nadogradnje.
Koliko je React2Shell raširen?
Prema istraživanju kompanije Wiz, ranjive verzije RSC-a pojavljuju se u:
- 39% analiziranih cloud okruženja,
- dok je Next.js instaliran u 69% skeniranih sistema,
- a čak 44% svih cloud okruženja izloženo je zbog javno dostupnih Next.js aplikacija.
Dobra vijest: organizacije koje su već prešle na verzije 19.0.1, 19.1.2 ili 19.2.1 više nisu pod rizikom.
Zašto React2Shell ipak nije Log4Shell
Poređenja s 2021. godinom neminovna su. Log4Shell je pogodio praktično cijeli digitalni ekosistem — od cloud servisa do rutera, aplikacija i naslijeđene infrastrukture. Njegova “nevidljiva” prisutnost u brojnim Java sistemima činila je zakrpe izuzetno sporim i neizvjesnim.
React2Shell je, s druge strane:
- ograničen na frontend ekosistem Reacta i Next.js-a,
- u okruženju gdje su nadogradnje češće i jednostavnije,
- otkriven prije masovne eksploatacije, što je dalo prednost odbrambenim timovima.
Stoga je strah manji, ali opasnost za pojedinačne organizacije i dalje može biti ogromna — od prekida rada do milionskih troškova sanacije i gubitka podataka.
Napadači sve brži, odbrana sve bolje pripremljena
Za razliku od 2021. godine, ovaj put je sigurnosna industrija bila spremnija:
- AWS, Cloudflare i Vercel imali su WAF pravila spremna odmah po objavi ranjivosti.
- Meta Security je koordinirano objavila informacije kako bi se zakrpe stigle pripremiti prije masovnih napada.
- Razvojni timovi navikli su se na redovne „npm update“ cikluse.
Ipak, napadači su pokazali koliko brzo mogu djelovati. Prema AWS-u, državni akteri sada imaju unaprijed pripremljene planove za ovakve situacije, što znači da svako kašnjenje u zakrpama otvara prostor za proboj.
Važna lekcija, ali i upozorenje
React2Shell nije „nasljednik“ Log4Shella — ali jeste ozbiljan podsjetnik da ni moderni razvojni ekosistemi nisu imuni na ranjivosti s najvećom ocjenom rizika.
Brza koordinacija i relativno manji obim prijetnje spriječili su širu katastrofu, no broj ranjivih sistema i dalje je mjerilo brzine reakcije globalne developerske zajednice. Kako će se ranjivost razvijati, zavisit će od toga koliko brzo organizacije uspiju implementirati zakrpe i prevenirati potencijalne štete.
Timovi za cyber sigurnost nastavljaju pomno pratiti situaciju — a React2Shell, iako ne na nivou Log4Shella, ostaje ozbiljna opomena o tome koliko su sigurnosne prijetnje evoluirale.
