Identificados cinco grupos chineses que exploram vulnerabilidade React2Shell para entregar malware

O grupo de inteligência de ameaças da Google (GTIG) observou cinco grupos ligados à China a explorar a vulnerabilidade React2Shell, oficialmente rastreada como CVE-2025-55182, para a entrega de malware. A falha, classificada como crítica, permite execução remota de código não autenticada através de pedidos HTTP especialmente criados.

A vulnerabilidade afeta sistemas que utilizam a versão 19 da biblioteca React, nomeadamente os React Server Components (RSC) e pode também impactar aplicações que recorrem a Next.js, Waku, React Router ou RedwoodSDK. A divulgação da React2Shell ocorreu a 3 de dezembro, com explorações a terem início no mesmo dia.

A Amazon Web Services (AWS) relatou que grupos chineses denominados Earth Lamia e Jackpot Panda começaram a aproveitar esta falha assim que foi tornada pública. Paralelamente, o GTIG identificou pelo menos cinco outros grupos chineses a explorarem a vulnerabilidade para distribuir malware.

Um desses grupos de espionagem, acompanhado com a designação UNC6600, utilizou React2Shell para instalar um túnel de rede chamado Minocat. Outro grupo, identificado como UNC6586, explorou a falha para instalar um descarregador denominado Snowlight, usado para distribuir cargas maliciosas disfarçadas de ficheiros legítimos.

O UNC6588 usou a vulnerabilidade para transferir um backdoor designado Compood, tradicionalmente associado a campanhas de espionagem chinesas. O grupo UNC6603 carregou um backdoor chamado Hisonic, enquanto o UNC6595 entregou malware conhecido por Angryrebel.Linux.

Além dos grupos chineses, foram também reportadas explorações da React2Shell por atores ligados à Coreia do Norte e ao Irão. Os atores motivados pelo lucro têm igualmente aproveitado esta falha para entregar variadas formas de malware.

Desde a divulgação da React2Shell, outras três vulnerabilidades foram identificadas na biblioteca React: duas delas, com classificação de severidade elevada (CVE-2025-55184 e CVE-2025-67779), podem causar ataques de negação de serviço (DoS). A terceira, CVE-2025-55183, é de severidade média e pode causar exposição de código-fonte.