BSI - Bundesamt für Sicherheit in der Informationstechnik - Version 1.3 React Server Components - Kritische Schwachstelle bedroht zahlreiche Webanwendungen
Navigation und Service
Springe direkt zu:
Inhalt
Hauptmenü
Suche
Menü
Menü
Servicemenü
Servicemenue
Kontakt
English
Gebärdensprache
Leichte Sprache
Nutzungsbedingungen
Login
Hauptmenü
Das BSI
Das BSI
Cybernation Deutschland
Auftrag
Organisation und Aufbau
Leitbild
Zeitstrahl
BSI Standorte
Umwelterklärung
Themen
Alle Themen
Staat und Verwaltung
Unsere Top-Themen
Nationales IT-Lagezentrum
CERT-Bund
Zusammenarbeit mit Bund und Ländern
Sicherheitsberatung
Mindeststandards Bund
Alle Themen
Unternehmen und Organisationen
Unsere Top-Themen
Cyber Resilience Act
Grundschutz in der Informationssicherheit
Threat Intelligence
IT-Sicherheitskennzeichen
Zertifzierung, Kennzeichnung und Anerkennung
Alle Themen
Verbraucherinnen und Verbraucher
Unsere Top-Themen
Sicherheit beim Onlineshopping
Online-Account absichern
Bedrohungen durch Cyber-Kriminelle
E-Mail, Social Media, Messenger und Co.
Smart Metering & Ladeinfrastruktur
Alle Themen
Regulierte Wirtschaft
Unsere Top-Themen
NIS-2-regulierte Unternehmen
Kritische Infrastrukturen (KRITIS)
KRITIS-FAQ
Alle Themen
IT-Sicherheitsvorfall
IT-Sicherheitsvorfall
Verbraucherinnen und Verbraucher
Unternehmen
Kritische Infrastrukturen und meldepflichtige Unternehmen
CVD-Richtlinie des BSI
Karriere
Karriere
Willkommen im #TeamBSI
Warum BSI?
Arbeiten im BSI
Einstieg
FAQ
Stellenangebote
Termine
Kontakt Personalgewinnung
Service
Service
Presse
Mediathek
Publikationen
Newsletter und Social Media
Veranstaltungen
Vergaben an Externe
Die E-Rechnung im BSI
Kosten für Leistungen des BSI
Kontakt
Fragen & Antworten
BSI-Portal
<abbr title="Bundesamt für Sicherheit in der Informationstechnik">BSI</abbr>-Portal
SucheOeffnen
Suche
Suche
Häufig gesucht
Regulierung nach NIS-2
Gefährdungen durch Ransomware
Zertifizierung Produkte & Personen (FAQ)
Zertifizierung Common Criteria
Elektronische Identitäten
Digitaler Verbraucherschutz
Technische Richtlinien
Kritische Infrastrukturen
Künstliche Intelligenz
Sie sind hier:
Zur Startseite
Version 1.3 React Server Components - Kritische Schwachstelle bedroht zahlreiche Webanwendungen
Version 1.3 React Server Components - Kritische Schwachstelle bedroht zahlreiche Webanwendungen
Kritikalität 3
BeschreibungAm Abend des 3. Dezember 2025 veröffentlichte das Team hinter der Webkomponente React einen Blogbeitrag zur Entdeckung einer Schwachstelle in React Server Components (RSC). Demnach könnte es nicht authentifizierten Angreifern aus der Ferne gelingen, Code auf verwundbaren Systemen auszuführen. In Verbindung mit der vergleichsweise simplen Ausnutzbarkeit erhielt die Sicherheitslücke mit der Kennung CVE-2025-55182 die höchstmögliche Kritikalitätsbewertung nach dem Common Vulnerability Scoring System (CVSS) mit 10 von 10. Zu beachten ist auch, dass die betroffene Komponente RSC in zahlreichen Frameworks und Bundlern zum Einsatz kommt.
Update 1: Bereits kurz nach der Veröffentlichung der Schwachstelle konnte AWS detektieren, dass mehrere Akteure versuchen, die Schwachstelle auszunutzen. AWS weist diese Angriffsaktivitäten China-nahen staatliche Akteuren zu. Mittlerweile sind auch funktionsfähige Proof-of-Concept Exploits öffentlich verfügbar. Von Angriffen weiterer Akteure ist daher auszugehen.
Update 2: Die Schwachstelle "React2Shell" wird mittlerweile von vielen Akteuren massiv ausgenutzt, um verschiedenste Kompromittierungen vorzunehmen. Von der opportunistischen Installation von Cryptominern und Exfiltration von Zugangsdaten, Integration in Botnetzen, bis hin zur persistenten Kompromittierung mittels ausgereifter Malware wurden Angriffe von verschiedenen IT-Sicherheitsunternehmen beobachtet. In Deutschland allein sind knapp 15.000 Webanwendungen durch die Schwachstelle verwundbar.
Update 3: Im Zuge der Aufmerksamkeit für die React2Shell Schwachstelle wurden drei weitere, jedoch deutlich weniger schwerwiegende Sicherheitslücken gefunden und geschlossen. Keine der zusätzlich gefundenen Schwachstellen eignet sich als Patch-Bypass. Die mit React2Shell veröffentlichten Updates schützen somit weiterhin erfolgreich vor der Ausführung von Code mithilfe von CVE-2025-55182, nicht jedoch vor einer DoS-Attacke auf Basis der neuen Sicherheitslücken.
Publikationen
Download Version 1.3: React Server Components - Kritische Schwachstelle bedroht zahlreiche Webanwendungen (PDF)
Fußbereich
Seite drucken
Unternavigation aller Website-Bereiche
Themen
Verbraucherinnen und Verbraucher
Unternehmen und Organisationen
Staat und Verwaltung
Regulierte Wirtschaft
Das BSI
Leitbild
Organisation und Aufbau
BSI Standorte
Auftrag
Kontakt
Karriere
Arbeiten im BSI
Stellenangebote
Studium und Ausbildung
IT-Sicherheitsvorfall
IT-Sicherheitsvorfall
Folgen Sie uns
Das BSI auf Bluesky
BSI-Instagram
Das BSI auf LinkedIn
Das BSI auf Mastodon
Newsletterverwaltung
Das BSI auf YouTube
Das BSI auf Xing
RSS
Impressum
Datenschutz
Nutzungsbedingungen
Barrierefreiheit
© Bundesamt für Sicherheit in der Informationstechnik
Top
Top
Hinweis zur Verwendung von Cookies
Das BSI speichert keine personenbezogenen Daten der Webseitenbesucher. Details in unserer Datenschutzerklärung
OK