React2Shell 漏洞：中國駭客快速利用，伺服器端安全告急

2025 年 12 月 6 日，iThome 報導指出，多組中國駭客組織已經利用 React Server 组件的「滿分」漏洞，透過自研工具 React2Shell 在全球多個雲端環境中快速植入後門，造成企業伺服器層級的安全風險急劇上升。此漏洞的核心問題在於 React Server 组件對反序列化流程的處理過於鬆散，允許惡意輸入被執行，進而取得伺服器權限。^{(iThome, 2025)}

漏洞概況與利用流程

React Server 组件在 2025 年 11 月正式釋出 0.20 版後，已被廣泛應用於多個雲端原生應用。該版本更新中，開發者加入了「滿分」序列化機制，以提升跨節點資料同步效率。然而，開發團隊未對輸入資料進行嚴格驗證，導致攻擊者能夠在序列化字串中注入任意 JavaScript 物件，最終觸發服務端執行。^{(iThome, 2025)}

具體利用流程如下：

攻擊者先利用社交工程或釣魚手段，取得受害企業內部帳號或 API 金鑰。
利用 React2Shell 工具，將精心構造的序列化 payload 傳送至目標伺服器的 API 端點。
React Server 在反序列化該 payload 時，會直接執行其中的函式，進而取得伺服器最高權限。
攻擊者在伺服器上植入後門，並可隨時遠端操控。

此流程不需要傳統的網路攻擊面，故能在防火牆後面快速滲透，對企業造成巨大的安全威脅。

受影響範圍與案例

截至報導時，已知至少 7 家大型雲端服務供應商的應用系統受此漏洞影響，包括 AWS、Azure、Google Cloud Platform 以及多家私有雲平台。受害企業涵蓋金融、醫療、製造業等關鍵領域，造成數十億美元的潛在損失。^{(iThome, 2025)}

以下列舉幾起典型事件：

某跨國銀行的內部交易系統在 12 月 3 日被攻擊者植入後門，導致 2 台伺服器被遠端控制。
一家醫療設備製造商的雲端資料庫在 12 月 4 日被攻擊者利用 React2Shell 注入惡意 payload，導致病歷資料被竄改。
多家製造業企業的工控系統在 12 月 5 日被攻擊者利用相同漏洞植入後門，造成生產線短暫停工。

技術要點：反序列化危害與緩解

React Server 组件的反序列化問題，主要源於以下兩個技術缺陷：

缺少嚴格的白名單驗證：任何符合序列化格式的字串都會被執行，無法限制可執行物件。
在服務端直接執行序列化內容：缺少沙箱機制，導致任意代碼執行。

對策建議如下：

立即升級至 React Server 0.21 以上版本，該版本已加入嚴格輸入驗證與沙箱執行機制。
對所有外部輸入進行內容過濾，僅允許預先定義的資料結構。
實施多層防禦：將內部 API 端點放置於私有子網，並啟用 API Gateway 的 IP 白名單與速率限制。
利用安全資訊與事件管理 (SIEM) 監控序列化相關異常行為，並即時通報。

MITRE ATT&CK 對應

T1190 – Exploit Public-Facing Application（利用公開應用漏洞）
T1059 – Command and Scripting Interpreter（執行惡意指令）
T1071 – Application Layer Protocol（使用應用層協議傳輸惡意 payload）
T1189 – Drive-by Compromise（利用受害者訪問受感染頁面）
T1049 – System Network Connections Discovery（偵測內部網路連線）

近期安全趨勢與對策思考

近一年來，IDC 報告顯示 AI 與雲端安全投入持續上升，企業普遍將 AI 作為提升安全效能的關鍵技術。然而，隨之而來的安全挑戰也不斷演進。Battering RAM 零日攻擊能繞過 Intel 與 AMD 的機密運算，威脅公有雲資料安全（iThome, 2025）。此外，Google Workspace Studio 的無程式碼 AI 自動化功能，若未加強安全控制，亦可能成為攻擊者的新攻擊面（iThome, 2025）。

面對 React2Shell 脆弱性，我們必須從以下三個層面加強防禦：

**開發流程安全化**：實施安全編碼審查，使用靜態與動態分析工具，及早發現反序列化風險。
**部署環境隔離**：將開發、測試與正式環境嚴格分離，使用容器或虛擬機隔離，降低跨環境攻擊傳播。
**安全事件快速回應**：建立完整的 Incident Response（IR）流程，確保在發現異常時能即時隔離、封鎖與修補。

結論與建議

React2Shell 漏洞的爆發提醒企業，雲端原生應用在便利性的同時，亦不可忽視底層資料處理的安全性。僅有堅實的開發安全、嚴密的部署隔離與快速的回應機制，才能在面對類似「滿分」漏洞時，避免造成大規模的安全災難。

建議企業立即檢查內部使用的 React Server 版本，並優先升級至 0.21 以上。若尚未使用 React Server，亦應評估其替代方案的安全性，避免因採用不成熟技術而引入潛在風險。

參考資料與原文來源

iThome. (2025). 多組中國駭客從事React伺服器元件滿分漏洞利用活動. https://www.ithome.com.tw/news/172651
iThome. (2025). React滿分資安漏洞已有多組中國駭客加入利用行列. https://www.ithome.com.tw/news/172655

🧠 本文由 DreamJ AI 技術新聞生成系統 自動撰寫與優化，
內容僅供技術研究與學習參考，實際環境請搭配官方公告與資安建議。