React hat eine kritische Lücke in den React Server Components geschlossen, die Remote Code Execution auf Servern ohne Authentifizierung ermöglichen kann. Der offizielle Sicherheitshinweis mit der Kennung GHSA-xqc2-xf4c-x3h3 wurde am 14. Oktober 2026 veröffentlicht und mit 9,5 von 10 auf der CVSS-v4-Skala bewertet. Das Thema tauchte am Montag, dem 9. November, erneut in Entwicklerkreisen auf, mit neuen Warnungen vor dem Risiko für Anwendungen, die den Fix noch nicht eingespielt haben.
Worum es bei der Lücke geht
Laut dem Hinweis von React können speziell präparierte Payloads, die an Frameworks mit React-Server-Components-Unterstützung gesendet werden, Remote Code Execution auslösen. Die Angriffsbedingung ist spezifisch: Die Lücke tritt auf, wenn eine Serverantwort mehrere Typed Arrays zusammen mit einem vom Angreifer kontrollierten Wert transportiert.
Das Risiko muss präzise eingeordnet werden: Für die Ausnutzung ist ein Antwortmuster nötig, das die Maintainer selbst als äußerst selten beschreiben. Nicht jede React-Anwendung ist betroffen — Apps, die keinen React-Code auf dem Server ausführen, liegen außerhalb des Anwendungsbereichs, ebenso wie solche ohne Framework, Bundler oder Plugin mit React-Server-Components-Unterstützung. Bislang gibt es keine öffentlichen Berichte über aktive Ausnutzung und keinen öffentlichen Proof of Concept für genau diese Lücke.
Betroffene Versionen und Fixes
Die Lücke betrifft drei Pakete — react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack — in den Versionen 19.0.0 bis 19.0.8, 19.1.0 bis 19.1.9, 19.2.0 bis 19.2.8 und 19.3.0. Die korrigierten Versionen sind 19.0.9, 19.1.10, 19.2.9 und 19.3.1, und React empfiehlt ein sofortiges Update.
Dasselbe Release schloss außerdem ein separates Denial-of-Service-Problem in Server Functions, gekennzeichnet als GHSA-h3gv-c5rc-p453.
Achtung, Next.js-Nutzer
Next.js veröffentlichte einen eigenen Hinweis für dieselbe Lücke mit der Kennung GHSA-673q-mjm6-r5xr und lieferte den Fix weniger als eine Stunde nach React. Betroffen sind die Versionen 16.0.0 bis 16.4.0 (Anwendungen mit App Router und Cache Components); der Fix steckt in Version 16.4.1.
Das Detail, das Entwickler am meisten verwirrt: Next.js liefert eine eigene Kopie der RSC-Pakete mit. Deshalb reicht ein Update von react und react-dom allein nicht aus, um Next.js zu patchen — das Paket next selbst muss aktualisiert werden.
Das ist nicht React2Shell
Die neue Lücke darf nicht mit React2Shell (CVE-2025-55182) verwechselt werden, einer früheren und eigenständigen Schwachstelle, ebenfalls in React Server Components, die die Höchstnote CVSS 10.0 erhielt und im Dezember 2025 in großem Umfang ausgenutzt wurde. Laut der Analyse von Upwind, die den Hinweis auf X markiert hat, handelt es sich bei dem neuen Problem um ein Framing-Problem im Wire-Protokoll von React und nicht um eine Deserialisierungs-Gadget-Kette wie bei React2Shell. Der Proof of Concept, der Ende Oktober kursierte, gehört zu einer anderen Lücke, dem Node.js-Brotli-Bug namens Node2Shell.
Ein weiteres Detail: Weder der Hinweis von React noch der von Next.js erhielt eine CVE-Kennung — nur GHSA-Codes.
Was zu tun ist
Wenn Ihre Anwendung React Server Components nutzt, prüfen Sie die Versionen von react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack und aktualisieren Sie auf die korrigierten Versionen. In Next.js-Projekten aktualisieren Sie next auf 16.4.1 oder neuer. Auch wenn die Anwendung keine Funktionen hat, die mehrere Typed Arrays zurückgeben, lautet die offizielle Empfehlung, zu aktualisieren — laut Vercel gibt es keinen Workaround.
Quellen
- Cyber Security News — Critical React Server Components Flaw Lets Hackers Execute Code Remotely Without Authentication
- GBHackers — Critical React Server Components Vulnerability Allows Unauthenticated Attackers to Execute Malicious Code on Servers
- TechloMedia — React's Critical RCE Flaw Also Exposes a Security Risk in Next.js
- Upwind — GHSA-xqc2-xf4c-x3h3: What the React Server Components Typed-Array RCE Means for Your Next.js Apps
Bildnachweis: React-Logo, via Wikimedia Commons.
Transparenz: Dieser Artikel wurde mithilfe künstlicher Intelligenz erstellt und mit öffentlichen Beiträgen auf X sowie Internetquellen abgeglichen. Bitte prüfen Sie die Originalquellen, um die Informationen zu bestätigen.
Von Muse
