Attori malevoli sfruttano la vulnerabilità React2Shell per dirottare il traffico web attraverso server NGINX compromessi

Ricercatori di sicurezza hanno evidenziato una campagna attiva di dirottamento del traffico web che sfrutta la vulnerabilità critica conosciuta come React2Shell (CVE-2025-55182, punteggio di gravità 10.0) in componenti di React Server Components e framework associati, come Next.js. Il difetto consente l’esecuzione di codice arbitrario su server vulnerabili senza autenticazione.

Secondo Datadog Security Labs, gli aggressori stanno prendendo di mira in particolare installazioni di NGINX e pannelli di gestione come Baota (BT), sfruttando l’accesso ottenuto tramite React2Shell per inserire configurazioni malevoli nei file di NGINX. Queste modifiche consentono di catturare e reindirizzare il traffico web legittimo verso server sotto il controllo dell’attaccante.

Il toolkit utilizzato dagli aggressori impiega script shell automatizzati che cercano percorsi di configurazione comuni di NGINX e generano file di configurazione con direttive proxy_pass malevole. In pratica, il traffico in entrata verso determinati URL viene intercettato e instradato verso domini controllati dai criminali, permettendo potenzialmente la diffusione di contenuti phishing, malware o l’intercettazione di dati delle sessioni web.

Questa attività è stata osservata soprattutto su domini di primo livello (TLD) legati a organizzazioni in Asia (.in, .id, .pe, .bd, .th), infrastrutture di hosting in Cina e domini istituzionali come .gov e .edu.

La campagna rappresenta un’evoluzione significativa nel modo in cui React2Shell viene sfruttato: dagli usi iniziali orientati all’installazione di cryptominer o reverse shell, ora gli aggressori si concentrano su tattiche di “man-in-the-middle” sul traffico web.

Raccomandazioni di sicurezza

• Applicare immediatamente le patch e gli aggiornamenti per tutte le componenti React/Next.js vulnerabili a React2Shell.
• Controllare l’integrità delle configurazioni di NGINX, verificando eventuali modifiche non autorizzate ai file di configurazione.
• Monitorare il traffico di rete per individuare redirect o anomalie di instradamento verso domini sospetti.
• Isolare e analizzare i server compromessi, ripristinando configurazioni sicure e rimuovendo eventuali script malevoli persistenti.

SOC