## UAT-10608大規模自動化竊密行動：鎖定React2Shell漏洞入侵逾700台Next.js伺服器

- 種別: news
- 関連技術: nodejs, nextjs, react, kubernetes, cisco
- CVE: CVE-2025-55182
- 公開日時: 2026-04-30T06:05:00.000Z
- 情報源: TWCERT/CC 資安新聞 (https://www.twcert.org.tw/tw/cp-104-10888-09077-1.html)
- パーマリンク: https://vulnpulse.app/items/twcert-news-6e8fb2cc132c

思科旗下資安威脅情報與研究團隊 Cisco Talos 近日揭露，一個被追蹤為「UAT-10608」的威脅叢集，正針對暴露於網路的Next.js應用程式發動大規模自動化憑證竊取行動。該組織利用去年底備受關注的 React2Shell 漏洞（CVE-2025-55182），結合名為「NEXUS Listener」的自動化資料蒐集框架，在短時間內入侵全球至少766台主機，影響範圍橫跨多個地區與雲端服務供應商。 React2Shell（CVE-2025-55182）為一項高風險 RCE 漏洞，允許未經驗證的遠端攻擊者，在缺乏適當輸入驗證和處理的應用程式環境中執行任意程式碼，影響 React 與 Next.js 等主流前端框架。報告指出，UAT-10608 的攻擊具高度系統化特徵，先透過 Shodan、Censys 或自訂掃描器大規模探測暴露於公開網路的 Next.js環境；確認存在漏洞後，即向 Server Function 端點發送惡意序列化酬載，於伺服器端 Node.js 程序中執行任意程式碼。 取得初始存取權限後，攻擊者會在系統 /tmp 目錄下植入隨機命名的 Shell 指令碼，並透過 nohup 指令執行，展開自動化資料蒐集。竊取內容涵蓋帳號憑證（如 SSH 金鑰與各類存取令牌）、雲端與容器環境資訊（如 Kubernetes 與雲端 metadata）、系統環境參數（如環境變…