Проверьте сайт на React и Next.js — критическую дыру до сих пор атакуют

Коротко. В серверной части React была критическая дыра: через интернет можно было выполнить свой код на сервере сайта без пароля. Исправление вышло 3 декабря 2025, атаки после раскрытия подтверждены. Если сайт на Next.js / React с серверными компонентами с тех пор не обновляли — проверьте сегодня.

Касается ли это вас.

• Да, если сайт или личный кабинет сделан на Next.js (часто «современный» сайт на React) или другом стеке с React Server Components и зависимости давно не обновляли.
• Скорее нет, если это простой статический сайт без серверного React или только мобильное приложение без серверных пакетов RSC.
• Не знаете — перешлите готовый текст тому, кто собирал или хостит сайт.

Чем грозит. Злоумышленник может захватить сервер приложения: подменить сайт, украсть данные клиентов и доступы. Отдельного «клика пользователя» не нужно — достаточно, что сайт открыт из интернета.

Что сделать в первую очередь.

1. Перешлите разработчику или поддержке хостинга готовый текст в конце статьи (там номера CVE и версий).
2. Попросите обновить React Server Components и Next.js до исправленных версий, собрать сайт заново и выкатить.
3. Попросите подтвердить, что на сервере крутится именно новая сборка (не старая копия).

Получилось, если вам ответили исправленными номерами зависимостей и после выкладки сайт отвечает с новой сборки. «Версии как раньше» — патч не встал.

Что сделать во вторую очередь.

1. Если сайт долго был в интернете без патча — одного обновления мало: смените пароли панели хостинга, ключи доступа, секреты сайта, сессии администраторов.
2. Попросите сверить файлы на сервере с чистой копией кода из репозитория и проверить необычные процессы и исходящие соединения.
3. Договоритесь о регулярном обновлении зависимостей, чтобы следующая такая дыра не провисела месяцами.

Если сразу не получается.

• Нет доступа к коду — только хостинг-панель: напишите в поддержку и разработчику готовым текстом ниже.
• Обновление ломает сборку — не откатывайтесь на уязвимую «лишь бы работало»; попросите закрыть дыру в приоритете или временно убрать сайт с публичного доступа.
• Не ставьте «патчи» с форумов и чужие скрипты.

Подозрение, что сервер уже затронули. Смените все секреты и доступы, пересоберите из чистого кода, при необходимости переустановите окружение. Одного обновления пакетов недостаточно.

Готовый текст для разработчика или поддержки.

Здравствуйте! Нужно проверить сайт на CVE-2025-55182 (React Server Components, RCE без входа). CISA KEV с 05.12.2025, ransomware Known. Патч React: react-server-dom-* 19.0.1 / 19.1.2 / 19.2.1; Next.js — актуальный патч своей линии по блогу React Team (обновления до 26.01.2026), например next@14.2.35 / 15.5.10 / 16.0.11. После деплоя — сверка lockfile, перезапуск процесса/контейнера и ротация секретов, если сайт долго был без патча. Подробности: https://nevzlom.ru/ru/tech/2026-11-06-react-rsc/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-06-react-rsc/

Источник. React Team, бюллетень от 3 декабря 2025 (обновления до 26 января 2026), CVE-2025-55182 — исправленные версии RSC и таблица Next.js (официальная страница без ссылки в этом тексте). CISA: CVE-2025-55182 в каталоге известных эксплуатируемых уязвимостей с 5 декабря 2025 (ransomware Known).