React2Shell : la faille critique qui touche React et Next.js
Le 3 décembre, l'équipe de React a publié une faille notée 10 sur 10, exploitée dans les heures qui ont suivi. Si votre site ou votre extranet utilise Next.js, voici quoi vérifier.
Le 3 décembre 2025, l'équipe de React a publié un avis de sécurité rare par sa gravité : une faille notée 10 sur 10, la note maximale, dans les « React Server Components ». Elle permet à n'importe qui, sans identifiant, d'exécuter du code sur le serveur qui fait tourner le site. Next.js, le cadre de développement le plus utilisé pour construire des sites et applications avec React, est directement concerné. Selon Amazon, des tentatives d'exploitation ont été observées dans les heures qui ont suivi. Si votre site, votre boutique ou votre extranet a été développé récemment en React, cette faille vous concerne peut-être.
Ce qui s'est passé
React est une bibliothèque créée par Meta pour construire des interfaces web. Depuis quelques années, une partie du travail de React peut se faire sur le serveur plutôt que dans le navigateur : ce sont les « Server Components ». Le serveur et le navigateur échangent alors des données dans un format propre à React.
La faille, référencée CVE-2025-55182 et surnommée « React2Shell » par les chercheurs, se trouve dans la façon dont le serveur lit ces données. Une requête fabriquée sur mesure suffit à lui faire exécuter des commandes. Le chercheur Lachlan Davidson l'a signalée à l'équipe React le 29 novembre ; le correctif a été publié le 3 décembre.
Points importants de l'avis officiel :
- les versions 19.0, 19.1.0, 19.1.1 et 19.2.0 des paquets serveur de React sont vulnérables ; les versions corrigées sont 19.0.1, 19.1.2 et 19.2.1 ;
- Next.js est touché dans ses versions 15 et 16 utilisant l'« App Router », ainsi que d'autres outils qui embarquent les Server Components (React Router, Waku, des extensions de Vite et Parcel) ;
- une application peut être vulnérable même si ses développeurs n'ont jamais écrit de fonction serveur : il suffit que le cadre utilisé prenne en charge les Server Components ;
- les protections mises en place par certains hébergeurs sont temporaires : seule la mise à jour règle le problème.
Qui est concerné, et qui ne l'est pas
Pas de panique inutile : tous les sites qui utilisent React ne sont pas exposés.
- Non concernés : les sites React qui tournent entièrement dans le navigateur, sans serveur React ; les sites faits avec WordPress, Shopify ou d'autres technologies ; les applications mobiles natives.
- Concernés : les sites et applications construits avec Next.js 15 ou 16 en App Router, ou avec un autre cadre utilisant les Server Components, et qui n'ont pas été mis à jour depuis le 3 décembre.
Si vous ne savez pas avec quoi votre site a été construit, votre prestataire le sait. C'est une question qui doit obtenir une réponse en une phrase.
Ce qu'un attaquant peut faire
Exécuter du code sur le serveur, c'est en prendre le contrôle. Selon la façon dont le site est hébergé, un attaquant peut lire les variables de configuration (mots de passe de base de données, clés d'API de paiement ou d'envoi d'e-mails), accéder aux données clients, installer un logiciel de minage ou se servir du serveur pour attaquer d'autres systèmes. Les éditeurs de sécurité ont rapporté des exploitations attribuées à des groupes liés à des États, ainsi que des campagnes plus opportunistes.
Ce que nous conseillons de faire cette semaine
- Demandez à votre prestataire si vos sites sont concernés, et si oui, quand la mise à jour a été déployée.
- Faites changer les secrets des applications concernées qui étaient exposées sans correctif après le 3 décembre : un serveur compromis a pu laisser fuiter ses clés, et une mise à jour ne les rend pas secrètes à nouveau.
- Vérifiez qu'il y a quelqu'un pour recevoir ce type d'alerte. Une faille de ce niveau se corrige en quelques heures quand le projet est maintenu, en quelques semaines quand personne ne surveille.
Pour les projets que nous maintenons, la mise à jour a été appliquée et vérifiée, et chaque client concerné a été prévenu. C'est la partie la moins visible de la maintenance d'un logiciel, et celle qui compte le plus le jour où une faille comme celle-ci tombe.
La leçon pour vos futurs projets
Next.js et React restent de bons choix techniques : une faille corrigée en quatre jours après son signalement, avec un avis clair, c'est un écosystème qui fonctionne. Le risque n'est pas d'avoir choisi React. Le risque, c'est un logiciel livré puis laissé sans maintenance, dont personne ne connaît plus les versions.
Quand vous faites développer un site e-commerce ou un outil web, demandez ce qui est prévu après la livraison : qui surveille les alertes, sous quel délai les correctifs sont appliqués, et comment vous en êtes informé. Si vous avez un doute sur un site existant, nous pouvons regarder ensemble lors d'un rendez-vous de 30 minutes.