React2Shell (CVE-2025-55182): Celah RCE React Server Components dan Next.js

React2Shell (CVE-2025-55182) adalah celah eksekusi kode jarak jauh tanpa autentikasi berskor CVSS 10.0 pada React Server Components, yang juga menjangkau aplikasi Next.js dengan App Router. Celah ini diumumkan 3 Desember 2025, dieksploitasi dalam hitungan jam, dan masuk CISA KEV pada 5 Desember 2025. Hampir setahun kemudian, pelajarannya masih relevan bagi setiap tim yang memakai framework React di sisi server.

Ringkasan React2Shell

• CVE: CVE-2025-55182.
• Produk terdampak: paket react-server-dom-webpack, react-server-dom-parcel dan react-server-dom-turbopack versi 19.0.0, 19.1.0, 19.1.1 dan 19.2.0, serta framework yang membundelnya: Next.js, React Router (RSC), Waku, @parcel/rsc, @vitejs/plugin-rsc dan rwsdk.
• Jenis: deserialisasi tidak aman pada protokol "Flight" milik React Server Components, berujung pada RCE tanpa login lewat satu request HTTP.
• Skor: CVSS 10.0 menurut advisori React (Meta sebagai CNA).
• Eksploitasi: ya, masuk CISA KEV pada 5 Desember 2025 dengan tenggat 12 Desember 2025, dan per 29 Oktober 2026 katalog KEV menandai pemakaiannya dalam kampanye ransomware sebagai "Known".
• Perbaikan: React 19.0.1, 19.1.2 dan 19.2.1 (3 Desember 2025), lalu rilis lanjutan yang dijelaskan di bawah.

Apa yang terjadi

Menurut pengumuman resmi React, peneliti Lachlan Davidson melaporkan celah ini melalui program bug bounty Meta pada 29 November 2025. Meta mengonfirmasinya pada 30 November, perbaikan dibuat pada 1 Desember dan divalidasi bersama penyedia hosting serta proyek open source, lalu dipublikasikan pada 3 Desember. React Server Components memungkinkan komponen berjalan di server dan menerima data dari klien lewat protokol khusus. Kesalahan dalam cara server memproses data masuk itulah yang membuat penyerang tak terautentikasi dapat memaksa server menjalankan kode.

Poin yang paling sering terlewat: aplikasi bisa rentan walaupun tidak mengimplementasikan endpoint Server Function sendiri, selama framework atau bundler-nya mendukung RSC. Di Next.js App Router, RSC aktif secara default, sehingga banyak tim terpapar tanpa menyadarinya. Sebaliknya, aplikasi tanpa kode server, atau tanpa framework yang mendukung RSC, tidak terdampak. Ini contoh bahwa celah RCE di "frontend framework" sebenarnya adalah celah server.

Eksploitasi di dunia nyata

• AWS melaporkan percobaan eksploitasi oleh beberapa kelompok yang berafiliasi dengan negara Tiongkok, termasuk Earth Lamia dan Jackpot Panda, dalam hitungan jam setelah pengumuman. AWS menegaskan atribusi pasti sulit karena kelompok tersebut berbagi infrastruktur anonimisasi, dan mencatat banyak PoC publik tidak berfungsi, tetapi tetap dipakai dengan mengandalkan volume (blog keamanan AWS).
• Cloudflare mencatat 582,10 juta hit aturan WAF antara 3 dan 11 Desember 2025, dengan puncak 12,72 juta per jam.
• Microsoft melaporkan beberapa ratus mesin di berbagai organisasi, Windows dan Linux, berhasil dikompromi. Muatan yang paling sering adalah penambang kripto, tetapi ada juga trojan akses jarak jauh, upaya persistensi lewat akun baru dan alat manajemen jarak jauh, serta pencarian kredensial cloud dan Kubernetes (Microsoft Security Blog).

Hati-hati dengan kode "PoC" di internet. Banyak yang palsu atau berisi malware. Untuk keperluan Anda, cukup patch dan verifikasi.

Cara menambal dan memverifikasi

1. Naikkan paket React server ke 19.0.1, 19.1.2 atau 19.2.1 dan seterusnya. Karena ada celah lanjutan (lihat bagian berikut), versi minimum yang aman per 29 Oktober 2026 jauh lebih tinggi: 19.0.8, 19.1.9 atau 19.2.8, menurut advisori GitHub untuk CVE-2026-44907.
2. Naikkan Next.js. Patch awal untuk RCE menurut advisori Next.js berada di 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 dan 16.0.7, lalu react.dev menambahkan versi seperti 14.2.35, 15.5.10, 16.0.11 dan 16.1.5 untuk celah lanjutan. Jangan berhenti di sana: advisori Next.js tertanggal 22 Oktober 2026 menuntut minimal 15.5.28 atau 16.4.1. Jika memakai kanari 14.3.0-canary.77 atau lebih baru, advisori awal meminta turun ke 14 stabil.
3. Periksa yang benar-benar ter-resolve, bukan hanya versi next di package.json. Lihat lockfile dan folder node_modules untuk paket react-server-dom-*, lalu build ulang dan deploy ulang image container.
4. Gunakan WAF hanya sebagai penahan. Aturan Cloudflare dan AWS membantu, tetapi React menegaskan jangan mengandalkan mitigasi hosting. Patch tetap wajib.

Untuk deteksi, Microsoft menyarankan memperhatikan proses next-server atau Node.js yang memunculkan shell atau interpreter perintah, perintah pengintaian sederhana, pola reverse shell, aktivitas penambang kripto, dan akses tak biasa ke endpoint metadata instans cloud. Cloudflare juga menerbitkan daftar User-Agent pemindai yang bisa dicocokkan dengan log Anda. Bila ada indikasi kompromi, anggap kredensial di server itu bocor dan putar ulang (rotasi). Gunakan CISA KEV sebagai salah satu sinyal prioritas patch.

Cara memastikan tidak ada paket RSC yang terlewat

Aplikasi monorepo sering memiliki beberapa lockfile, dan paket react-server-dom-* bisa masuk sebagai dependensi transitif dari framework. Periksa setiap workspace, bukan hanya direktori akar. Alat pengelola paket seperti npm, pnpm, dan yarn punya perintah untuk menelusuri siapa yang membawa sebuah paket (misalnya perintah ls atau why). Periksa juga image container dan artefak build yang sudah dideploy, karena aplikasi yang berjalan di produksi belum tentu sama dengan isi repositori terbaru. Setelah versi dinaikkan, jalankan ulang pemindai dependensi dan catat hasilnya sebagai bukti verifikasi.

Celah lanjutan dan bypass middleware Next.js

Setelah React2Shell, peneliti menemukan celah lain di komponen yang sama. Menurut react.dev: CVE-2025-55183 (paparan kode sumber Server Function, CVSS 5.3), CVE-2025-55184 dan CVE-2025-67779 (denial of service, CVSS 7.5, yang kedua memperbaiki tambalan yang tidak lengkap), serta CVE-2026-23864 (denial of service, 26 Januari 2026). Tidak satu pun berupa RCE. Rilis 19.0.3, 19.1.4 dan 19.2.3 dinyatakan belum cukup, sehingga perbaikan untuk rangkaian itu adalah 19.0.4, 19.1.5 dan 19.2.4. Sepanjang 2026 menyusul CVE-2026-23869 (April), CVE-2026-23870 (Mei) dan CVE-2026-44907 (Juli), ketiganya denial of service dengan CVSS 7.5 menurut advisori GitHub, sehingga versi aman kini 19.0.8, 19.1.9 dan 19.2.8.

Terpisah dari RSC, Next.js juga mengalami bypass middleware. Yang paling dikenal adalah CVE-2025-29927 (Maret 2025, CVSS v3.1 9.1 dari GitHub selaku CNA). Contoh yang lebih baru adalah CVE-2026-64642 (Juli 2026, CVSS v4 8.3): pada Next.js 16.0.0 sampai sebelum 16.2.11 dengan App Router, Turbopack, dan satu entri locale, request tertentu bisa melewati autentikasi berbasis middleware. Solusi sementara dari advisori: terapkan otorisasi di jalur data sisi server, bukan hanya di middleware. Per 29 Oktober 2026, bypass ini tidak tercantum di KEV dan belum ada laporan eksploitasi yang terverifikasi. Next.js sendiri juga menerbitkan advisori RCE terpisah pada September dan Oktober 2026, misalnya pada Image Optimization API dan fungsi use cache, sehingga memperbarui Next.js tetap rutin wajib. Pola umum dari seluruh rangkaian ini dibahas di artikel celah 2Shell 2025-2026.

Baca juga: Celah WSUS CVE-2025-59287 dan Zero-Day Exchange OWA.

Pertanyaan yang Sering Diajukan

Apakah aplikasi React di sisi klien saja (SPA) terdampak?

Tidak, selama tidak ada kode server dan tidak memakai framework atau bundler yang mendukung React Server Components.

Apakah Next.js Pages Router terdampak?

Advisori React menyatakan aplikasi tanpa dukungan RSC tidak terdampak, sedangkan AWS merinci Next.js 15.x dan 16.x dengan App Router sebagai yang terdampak. Periksa advisori Next.js untuk lini versi Anda dan naikkan versi bila disarankan.

Apakah cukup memasang WAF?

Tidak. WAF hanya mengurangi risiko sementara, dan vendor sendiri menyatakan perlindungan jaringan tidak menggantikan perbaikan di sumbernya.

Kesimpulan

React2Shell menunjukkan bahwa framework frontend modern membawa permukaan serangan server, dan bahwa pertanyaan "versi React berapa yang sebenarnya berjalan?" harus bisa dijawab cepat. Jaga inventaris dependensi, patch hingga versi minimum terbaru, dan jangan menaruh otorisasi hanya di middleware. Jika Anda ingin memahami keamanan aplikasi web secara praktis, jelajahi kursus Linuxhackingid, dan SBOM adalah titik awal yang baik untuk inventaris dependensi.