React2Shell Nedir

React2Shell, modern web uygulamalarının önemli bir bölümü tarafından kullanılan React Server Components (RSC) mimarisindeki kritik bir güvenlik açığıdır. Bu açık, saldırganların yalnızca tek bir HTTP isteği ile kimlik doğrulaması olmaksızın sunucu üzerinde rastgele komut çalıştırmasına (RCE) yol açmaktadır. Zafiyet, CVSS 10.0 olarak derecelendirilmiş ve küresel ölçekte on binlerce sistemi etkileyerek 2025’in en yüksek öncelikli güvenlik problemlerinden biri haline gelmiştir.

React2Shell, React Flight Protocol içerisinde ortaya çıkan unsafe deserialization hatasından kaynaklanır. Prototip kirletme (Prototype Pollution) üzerinden Node.js çalışma zamanına sızmayı, ardından child_process modülü ile sistem komutu çalıştırmayı mümkün kılar. Etkileşim gerektirmeyen bu istismar modeli hem operasyonel risk düzeyi hem de yayılma hızı açısından son derece tehlikelidir.

Bu Dokümanda Neler Bulacaksınız?

React Server Components Mimarisi ve Zafiyetin Oluşum Süreci

React2Shell, React Flight Protocol’ün parçalara ayrılmış veri yapısını işlerken yaptığı doğrulama eksikliğinden doğar. Bu eksiklik saldırganın prototype chain’e erişebilmesine ve Node.js çalışma zamanına sızmasına imkân verir. RSC kullanan Next.js sürümlerinin geniş bir bölümü doğrudan etkilenmektedir.

Unsafe Deserialization ve Prototype Pollution Mekanizması

Doküman, payload’ın proto manipülasyonu ile nasıl Function constructor’a erişim sağladığını ve child_process üzerinden komut çalıştırmayı tetiklediğini adım adım açıklamaktadır. Bu zafiyet hiçbir kullanıcı etkileşimi gerektirmez ve tek bir HTTP POST isteğiyle tetiklenebilir.

Gerçek PoC ve İstismar Senaryosu

react2shell-scanner ile yapılan ön tarama, burp suite ile işlenen crafted multipart payload, RCE üretimi ve reverse shell elde edilme süreci grafiklerle birlikte gösterilmektedir. Uygulamanın yalnızca genel erişime açık kök dizinine yapılan bir istek bile istismarı mümkün kılmaktadır.

Küresel Etkilenme Haritası

Shadowserver Foundation verilerine göre dünya genelinde 137.000’den fazla IP adresi zafiyetli sürümleri çalıştırmaktadır. En çok etkilenen ülkeler Amerika Birleşik Devletleri, Almanya, Fransa ve Hindistan olarak öne çıkmaktadır. Türkiye’de ise 5–11 Aralık 2025 arasında zafiyetli IP sayısı 550 seviyesine kadar yükselmiştir.