React2Shell: moderní framework potřebuje bezpečnostní aktualizace

Novější technologický stack neznamená web bez bezpečnostní údržby. I moderní aplikace stojí na serverových komponentách a balíčcích, které potřebují inventář, dohled a aktualizace.

Co byla chyba React2Shell

Tým Reactu 3. prosince 2025 oznámil CVE-2025-55182: kritickou chybu ve zpracování požadavků dotčených React Server Components, která mohla umožnit vzdálené spuštění kódu bez přihlášení. Čistě klientský React bez serverové podpory dotčen nebyl. CISA chybu 5. prosince 2025 zařadila do katalogu aktivně zneužívaných zranitelností KEV. Advisory později aktualizoval další související pokyny. Oficiální oznámení React.

Název technologie není technický inventář

Informace „máme React“ k posouzení rizika nestačí. Potřebujete znát způsob serverového nasazení, framework, konkrétní balíčky a jejich verze. Stejný název technologie může popisovat odlišné architektury.

Inventář má zahrnovat i testovací domény, starší aplikace a interní portály. Tyto části často zůstávají mimo pozornost, přestože mohou mít přístup k datům nebo k dalším službám.

Co řešit při oznámení kritické chyby

• Ověřit, zda se zranitelná komponenta skutečně používá a v jakém režimu.
• Vyhledat aktuální pokyny maintainera i navazujícího frameworku.
• Určit priority podle dostupnosti aplikace a citlivosti dat.
• Připravit aktualizaci, funkční testy a dohodnutý servisní postup.
• Při podezření na zneužití prověřit prostředí i přístupy.

Historická oprava nemusí být dnešním cílem

U staršího článku nelze mechanicky převzít první číslo opravené verze. Od oznámení mohly přibýt další chyby nebo změny podpory. Při zásahu se proto řiďte aktuálním advisory a podporovanou opravenou větví.

Dočasná ochrana na úrovni WAF může být součástí reakce, ale její limity je třeba znát. Neodstraňuje potřebu vyřešit samotnou dotčenou aplikaci.

Bezpečnostní odpovědnost pokračuje i po předání

Při vývoji si domluvte, kdo sleduje oznámení, kdo má přístupy a kdo může schválit urgentní aktualizaci. Pokud tato část chybí, firma může mít kvalitně vytvořený projekt bez člověka, který ho udrží bezpečný.