Kilka dni temu świat obiegła informacja o odkryciu poważnej luki bezpieczeństwa React2Shell w wybranych wersjach Reacta – biblioteki programistycznej do tworzenia stron internetowych.

Meta Platforms, która jest za tę bibliotekę odpowiedzialna, wydała już odpowiednie poprawki bezpieczeństwa, publikując także informacje o tym, jak postępować w przypadku konkretnych rozszerzeń do Reacta – takich jak Next.js.

Vercel, który z kolei jest odpowiedzialny za bibliotekę Next.js, w e–mailach do wszystkich jego użytkowników rozesłał notatkę o konieczności instalacji łatki bezpieczeństwa.

– Od [6 grudnia 2025 roku] Vercel będzie blokował uruchamianie wdrożeń, które są oparte o wersje Next.js z niezałataną podatnością – napisano w e–mailu.

Informacja ta dotyczy wszystkich wdrożeń opartych o wszystkie niezałatane wersje zaczynające się numerami 15 i 16 oraz wersje testowe począwszy od 14.3.0-canary.77. Co ważne, informację o luce bezpieczeństwa, na którą jest narażony NextJS, opublikowano pod identyfikatorem CVE-2025-66478.

Informację o niedawno załatanej podatności podał do wiadomości twórców Reacta Lachlan Davidson w dniu 29 listopada 2025 roku. Podatności przypisano identyfikator CVE-2025-55182.

Wkrótce po podaniu do wiadomości publicznej informacji o tej luce bezpieczeństwa, badacze bezpieczeństwa w Amazonie poinformowali, że chińskie grupy cyberprzestępcze – takie jak Earth Lamia czy Jackpot Panda – zaczęły aktywnie wykorzystywać tę podatność na niezałatanych stronach internetowych.

Obie te grupy skupiają swoją działalność głównie na Ameryce Łacińskiej, Bliskim Wschodzie, czy wschodniej albo wschodnio–południowej części Azji.

Źródła

Zdjęcie tytułowe zostało zrobione przez Nino Barbieriego i jest ono dostępne na Wikimedia Commons na licencji Creative Commons BY-SA 2.5 Generic. Treść artykułu powstała na podstawie następujących źródeł tekstowych i/lub audiowizualnych:

• Critical Security Vulnerability in React Server Components, opublikowany w serwisie react.dev w dniu 3.12.2025
• China-nexus cyber threat groups rapidly exploit React2Shell vulnerability (CVE-2025-55182), opublikowany w serwisie aws.amazon.com w dniu 4.12.2025
• Security Advisory: CVE-2025-66478, opublikowany w serwisie nextjs.org przez Josha Story’ego oraz Sebastiana Markbåge w dniu 3.12.2025