React2Shell: Lỗ hổng CVSS 10.0 đẩy hệ sinh thái React/Next.js vào tâm bão tấn công toàn cầu

[WhiteHat Team]

Chỉ vài giờ sau khi được công bố, lỗ hổng React2Shell đã nhanh chóng trở thành mục tiêu săn lùng của nhiều nhóm tin tặc trên thế giới. Đây không chỉ là một cảnh báo sớm mà là minh chứng rõ rệt cho tốc độ tấn công ngày càng khốc liệt vào các nền tảng phổ biến trong kỷ nguyên web hiện đại.

Một lỗ hổng CVSS 10.0 hiếm gặp trong hệ sinh thái React/Next.js​

React/Next.jstừ lâu được xem là nền tảng phát triển giao diện hàng đầu nhưng lỗ hổng mới xuất hiện trong React Server Components đã tạo nên cú sốc lớn. React2Shell hay CVE‑2025‑55182, cho phép kẻ tấn công thực thi mã từ xa chỉ với một yêu cầu gửi lên máy chủ. Không cần xác thực, không yêu cầu thiết lập phức tạp và không phụ thuộc chuỗi khai thác dài. Chỉ cần một lỗ hổng tồn tại ở đúng vị trí trong chuỗi xử lý, hậu quả có thể lan rộng trên quy mô toàn cầu. Các chuyên gia bảo mật nhận định mức điểm 10.0 không chỉ phản ánh độ nghiêm trọng, mà còn thể hiện tính đơn giản trong việc khai thác. Với khả năng thực thi mã từ xa không cần xác thực, bất kỳ hệ thống nào triển khai React Server Components, bao gồm cả các ứng dụng Next.js chưa cập nhật, đều trở thành mục tiêu hấp dẫn.

Nhịp độ tấn công đáng sợ: khai thác chỉ sau vài giờ​

Amazon là đơn vị đầu tiên lên tiếng cảnh báo. Chỉ trong vài giờ sau khi lỗ hổng được công bố, họ đã ghi nhận các đợt quét và thử khai thác đến từ hạ tầng liên quan nhóm Earth Lamia và Jackpot Panda, những nhóm tấn công chuyên nhắm vào lỗ hổng zero‑day và các mục tiêu doanh nghiệp lớn. Ngay sau đó, hàng loạt đơn vị như Coalition, Fastly, GreyNoise, VulnCheck và Wiz tiếp tục phát hiện các chiến dịch thăm dò quy mô lớn. Điều này cho thấy React2Shell đang được nhiều nhóm tội phạm mạng khai thác, tận dụng kẽ hở trước khi bản vá được triển khai.

Theo Shadowserver, tính đến ngày 7/12 đã ghi nhận 28.964 địa chỉ IP dễ bị tấn công bởi React2Shell. Con số này giảm từ 77.664 IP chỉ hai ngày trước đó nhưng vẫn là một bề mặt tấn công cực lớn nếu xét mức độ nghiêm trọng của lỗ hổng. Trong số đó có khoảng 10.100 IP tại Mỹ, 3.200 IP tại Đức và 1.690 IP tại Trung Quốc, cho thấy phạm vi ảnh hưởng hoàn toàn không nhỏ. Chỉ cần một botnet tự động hóa, quy mô thiệt hại có thể lan rộng theo cấp số nhân.

Phân bố địa lý của các địa chỉ IP dễ bị tấn công
Nguồn: ShadowServer
​

Palo Alto Networks cũng báo cáo rằng hơn 30 tổ chức đã bị xâm phạm thông qua lỗ hổng React2Shell. Trong các vụ này, kẻ tấn công khai thác RCE để chạy lệnh, tiến hành do thám và cố gắng đánh cắp tệp cấu hình cùng thông tin xác thực AWS. Thực tế này chứng minh rằng mối nguy hiểm của React2Shell không chỉ dừng ở việc chiếm quyền đơn lẻ mà có thể tác động sâu vào hạ tầng và dữ liệu nhạy cảm của tổ chức.

Hệ lụy toàn diện: từ chiếm quyền đến rủi ro chuỗi​

Khi một máy chủ chạy React/Next.js Server Components bị khai thác thông qua React2Shell, kẻ tấn công không chỉ đơn thuần chạy mã độc. Chúng có thể cài đặt backdoor, chiếm quyền điều khiển máy chủ, đánh cắp dữ liệu nhạy cảm và di chuyển ngang vào các hệ thống liên kết. Mối nguy hiểm càng tăng khi React/Next.js được sử dụng rộng rãi trong các ứng dụng SaaS, cloud service và trang web front-end phổ biến, tạo ra một bề mặt tấn công khổng lồ. Trong môi trường này, việc khai thác thành công một server có thể dẫn tới hiệu ứng domino, ảnh hưởng tới hàng loạt dịch vụ phụ thuộc.

Thêm vào đó, các nhóm tấn công liên tục tinh chỉnh kỹ thuật, tự động hóa các công cụ khai thác và quét hàng loạt khiến React2Shell trở thành mồi lửa lý tưởng cho các chiến dịch tấn công toàn diện, tương tự như Log4Shell hay các lỗ hổng Confluence trước đây. Ngay cả những hệ thống không trực tiếp lưu trữ dữ liệu quan trọng vẫn có thể bị lợi dụng làm điểm nhảy cho các cuộc xâm nhập sâu hơn, đe dọa đến toàn bộ hạ tầng và chuỗi cung ứng phần mềm.

Vì sao React2Shell được ví như “Log4Shell phiên bản JavaScript”​

Sự xuất hiện của React2Shell lập tức gợi nhắc đến cơn ác mộng Log4Shell, lỗ hổng từng gây chấn động ngành an ninh mạng toàn cầu. Sự so sánh này hoàn toàn chính xác, bởi cả hai đều đạt mức điểm tối đa, đều cho phép thực thi mã từ xa mà không cần bất kỳ bước xác thực nào và đều có khả năng kích hoạt khủng hoảng diện rộng chỉ trong vài giờ đầu tiên. Mức độ dễ khai thác của React2Shell thậm chí còn tinh gọn hơn, khi chỉ cần một yêu cầu HTTP cơ bản.

Ở một góc nhìn khác, sự khác biệt quan trọng nằm ở vị trí tồn tại của lỗ hổng. Log4Shell ảnh hưởng đến thư viện logging trong tầng backend, còn React2Shell tác động trực tiếp lên lớp framework giao diện - phần lõi của vô số ứng dụng web hiện nay. Khi điểm yếu xuất hiện ngay trong logic nền tảng, mọi sản phẩm phụ thuộc vào React đều có khả năng bị ảnh hưởng ngay lập tức. Chính điều này khiến React2Shell được xem như phiên bản JavaScript của Log4Shell và trở thành rủi ro chuỗi cung ứng có thể lan rộng trên phạm vi toàn cầu.

Không phải lúc hoảng loạn, hãy hành động ngay​

Ngay khi bản vá cho React2Shell được phát hành, các tổ chức cần lập tức rà soát hệ thống của mình. Trước tiên, hãy kiểm tra xem máy chủ có dấu hiệu bị xâm nhập hay không, các tiến trình lạ tiêu tốn nhiều CPU như kdevtmpfsi, kinsing hay những chuỗi ký tự ngẫu nhiên có thể là dấu hiệu cảnh báo, đồng thời những file mới xuất hiện trong thư mục tạm /tmp hoặc cron kể từ ngày 29/11/2025 cũng không nên bỏ qua. Đây là những chỉ dấu quan trọng cho thấy hệ thống có thể đã bị kẻ tấn công can thiệp.

Việc cập nhật các phiên bản React và Next.js lên bản vá an toàn không chỉ là bước cần thiết mà còn là biện pháp duy nhất để đóng lỗ hổng trước khi bị khai thác. Với những hệ thống chạy trên Docker hay Node, việc kiểm tra container để đảm bảo không còn phiên bản cũ cũng cần được thực hiện song song, tránh bỏ sót bất kỳ điểm yếu nào. Đây là cơ hội để các admin và dev chủ động bảo vệ hạ tầng, tránh các cuộc tấn công tự động quét và khai thác React2Shell.

Trong trường hợp phát hiện dấu hiệu máy chủ đã bị xâm nhập, chỉ cập nhật không đủ, kẻ tấn công có thể đã cài cắm backdoor. Giải pháp triệt để là cài lại toàn bộ hệ điều hành từ nguồn sạch, khôi phục dữ liệu từ bản backup và tăng cường giám sát lưu lượng bất thường cùng các log trong những ngày gần đây, đặc biệt trong giai đoạn các cuộc tấn công diễn ra mạnh mẽ nhất. Hành động sớm và quyết liệt chính là cách duy nhất để ngăn chặn thiệt hại lan rộng trong môi trường hệ sinh thái React/Next.js vốn đang trở thành mục tiêu hấp dẫn của các nhóm tội phạm mạng.

Kết luận: Phán quyết sinh tử cho hệ sinh thái​

React2Shell đã chấm dứt kỷ nguyên ảo tưởng về sự bất khả xâm phạm của các nền tảng giao diện hàng đầu. Khả năng thực thi mã từ xa không cần xác thực và tốc độ bị vũ khí hóa chưa từng thấy tạo ra một án tử treo lơ lửng trên đầu bất kỳ hệ thống nào chậm chân trong việc vá lỗi. Mối đe dọa chuỗi cung ứng đã hiện hữu. Giờ không còn là lúc phân tích mà là thời điểm để tất cả người dùng React Server Components hành động dứt khoát và ngay lập tức trước khi trở thành nạn nhân của làn sóng tấn công quy mô lớn.