React2Shell : faille critique dans React et Next.js, mettez à jour et changez vos clés
Exploitée depuis décembre 2025, la faille CVE-2025-55182 permet d'exécuter du code sur les serveurs utilisant React Server Components.
Concerne :Next.js 15 et 16 (App Router)React Server Components 19.xReact Router, Waku, RedwoodSDK
En décembre 2025, l'équipe de React a révélé une faille critique dans React Server Components, surnommée React2Shell (CVE-2025-55182, notée 10 sur 10). Une seule requête web piégée, envoyée sans aucune connexion, pouvait permettre à un attaquant d'exécuter son propre code sur le serveur d'un site. Next.js, le framework le plus utilisé autour de React, était touché par son App Router. Next.js l'a d'abord suivie sous le numéro CVE-2025-66478, un identifiant ensuite rejeté au profit de celui de React.
Les attaques ont suivi rapidement. L'agence américaine de cybersécurité CISA a ajouté la faille à son catalogue de vulnérabilités exploitées le 5 décembre 2025 et indique qu'elle sert dans des campagnes de rançongiciels. Le 11 décembre 2025, puis le 26 janvier 2026, React a publié d'autres correctifs contre des dénis de service (serveur bloqué ou planté) et une fuite de code source, découverts en étudiant le premier correctif. Certains premiers correctifs étaient incomplets : une mise à jour faite trop tôt ne suffisait donc pas.
Qui est concerné
Les sites et applications construits avec Next.js 15 ou 16 utilisant l'App Router, ou les versions canary de Next.js 14.3 à partir de 14.3.0-canary.77. Aussi les autres frameworks qui prennent en charge React Server Components, comme React Router, Waku et RedwoodSDK. Les sites Next.js qui utilisent seulement le Pages Router n'étaient pas touchés. Un site React sans serveur, ou un site WordPress, n'est pas concerné.
Comment vérifier votre site
Si vous ne savez pas avec quoi votre site est construit, demandez à votre développeur, ou cherchez « next » ou « react-server-dom » dans le fichier package.json du projet. Les tableaux de bord d'hébergement comme Vercel ou Netlify affichent souvent le framework. Vérifiez ensuite la version de next indiquée dans package.json ou package-lock.json.
Quoi faire maintenant
- Demandez à votre développeur de mettre à jour. Les paquets React Server Components corrigés sont les versions 19.0.4, 19.1.5 et 19.2.4 ou plus récentes. Pour Next.js, React indique notamment les versions corrigées 14.2.35, 15.5.10 et 16.1.5 pour ces branches. Next.js a publié d'autres correctifs critiques en 2026 : en octobre 2026, les versions de sécurité actuelles sont 15.5.28 et 16.4.1 (voir notre alerte dédiée).
- Si votre application était en ligne et non corrigée le 4 décembre 2025, Next.js recommande de changer tous les secrets qu'elle utilise (clés d'API, mots de passe de base de données, clés de paiement), en commençant par les plus sensibles.
- Demandez à votre développeur ou à votre hébergeur de rechercher des traces d'intrusion sur les serveurs exposés, comme le recommande la CISA.
- Les sites mis à jour depuis le début de 2026 sont très probablement protégés, mais vérifiez la version.
Cette alerte rapporte ce que les sources ont publié et ne constitue pas une garantie pour un site en particulier.