Google, Çok Sayıda Hacker Grubunun Kötü Amaçlı Yazılım Yaymak İçin React2Shell’i Kullandığı Uyarısında Bulundu

Google Tehdit İstihbarat Grubu (GTIG), React Server Bileşenlerindeki kritik bir güvenlik kusurunun yaygın şekilde kullanılmasına ilişkin bir uyarı yayınladı.

React2Shell (CVE-2025-55182) olarak bilinen bu güvenlik açığı, saldırganların parolaya ihtiyaç duymadan sunucuların kontrolünü uzaktan ele geçirmesine olanak tanıyor.

Güvenlik açığının açıklandığı 3 Aralık 2025’ten bu yana Google, birden fazla farklı hacker grubunun bu kusuru kötüye kullandığını gözlemledi.

Saldırganlar, devlet destekli casusluk gruplarından finansal kazanç peşinde koşan siber suçlulara kadar çeşitlilik gösteriyor.

Tehdit Aktörleri ve Kötü Amaçlı Yazılım Kampanyaları

Google araştırmacıları, yama uygulanmamış sistemleri hedefleyen çeşitli kampanyalar belirledi. Temel gözlemler şunları içerir:

• Çin-Nexus Casusluğu: Çin’e bağlı gruplar, arka kapıları ve gizli araçları dağıtmak için React2Shell’i kullanıyor. UNC6600 adlı bir grup, kurban ağlarına gizli erişimi sürdürmek için MINOCAT tünelleyicisini kuruyor. Başka bir grup olan UNC6603, Cloudflare gibi meşru hizmetler aracılığıyla iletişim kurarak trafiğini gizleyen HISONIC arka kapısının güncellenmiş bir sürümünü kullanıyor.
• Finansal Siber Suç: Fırsatçı saldırganlar bu kusuru kripto para madencilerini kurmak için kullanıyor. Bir vakada suçlular, kurbanın sunucu gücünü kullanarak dijital para üretmek için XMRig’i kullandı.
• Ek Tehditler: Tanımlanan diğer kötü amaçlı yazılımlar arasında, her ikisi de verileri çalmak veya daha fazla kötü amaçlı yazılım yüklemek için kullanılan SNOWLIGHT indiricisi ve COMPOOD arka kapısı yer alıyor.

React2Shell, maksimum önem puanı 10,0 (CVSS v3) ile derecelendirilmiştir. Modern web siteleri oluşturmak için kullanılan popüler çerçeveler olan React ve Next.js’nin belirli sürümlerini etkiler. Bu araçlar yaygın olarak kullanıldığı için şu anda birçok kuruluş açığa çıkmaktadır.

Google, meşru yararlanma kodunun artık kamuya açık olduğu ve saldırganların saldırmasını kolaylaştıracağı konusunda uyarıyor.

İlk istismar araçlarının bazıları sahte veya bozuk olsa da, web kabuklarını doğrudan belleğe yükleyebilen araçları da içeren işlevsel yöntemler artık dolaşımda.

Güvenlik uzmanları, yöneticileri etkilenen sistemlere derhal yama yapmaya çağırıyor. Next.js veya React Server Bileşenlerini kullanan kuruluşlar, yetkisiz erişimi önlemek için güvenli sürümler çalıştırdıklarını doğrulamalıdır.

IoC

Günlük siber güvenlik güncellemeleri için bizi Google Haberler, LinkedIn ve X’te takip edin. Hikayelerinizi öne çıkarmak için bizimle iletişime geçin.