766 serveurs Next.js compromis par vol de credentials

Le compromis de 766 serveurs Next.js exposés illustre la vitesse à laquelle une faille applicative se transforme en brèche systémique. Exploitée activement, la chaîne d'attaque React2Shell Next.js compromission credentials permet aux opérateurs malveillants d'exécuter du code arbitraire côté serveur, puis d'exfiltrer les variables d'environnement contenant clés d'API, jetons d'accès et identifiants de bases de données. Ces secrets dérobés ouvrent ensuite la voie à des mouvements latéraux vers les environnements cloud et les dépôts de code des organisations touchées. Pour les équipes de sécurité, l'incident rappelle une réalité opérationnelle : la surface d'attaque des frameworks JavaScript modernes exige une veille permanente, un inventaire précis des instances exposées et une rotation systématique des credentials après tout soupçon de compromission. Le correctif seul ne suffit pas lorsque les identifiants ont déjà quitté le périmètre.

Les faits

Des chercheurs en sécurité ont révélé début avril 2026 qu'au moins 766 serveurs hébergeant des applications Next.js ont été compromis à travers l'exploitation de la vulnérabilité CVE-2025-55182, connue sous le nom de React2Shell. Cette faille critique avec un score CVSS de 10.0 affecte les React Server Components et le Next.js App Router, permettant une exécution de code arbitraire à distance sans authentification. L'information a été rapportée par The Hacker News et confirmée par plusieurs équipes de réponse aux incidents, selon BleepingComputer.

La campagne se distingue par son niveau d'automatisation. Après la compromission initiale, les attaquants déploient des scripts automatisés qui extraient systématiquement les fichiers d'environnement (.env, .env.local, .env.production, .env.development) contenant des credentials sensibles : clés API, tokens d'authentification, identifiants de bases de données et secrets d'application. Les données volées sont ensuite exfiltrées vers un serveur de commande et contrôle équipé d'une interface web baptisée NEXUS Listener, qui offre aux attaquants un tableau de bord avec statistiques en temps réel sur les hôtes compromis et les credentials récoltés. Les victimes sont réparties sur plusieurs régions géographiques et fournisseurs cloud.

Impact et exposition

Toute application Next.js utilisant le App Router avec des Server Functions est potentiellement vulnérable si elle n'a pas été mise à jour après la divulgation initiale de React2Shell en décembre 2025. Le risque est particulièrement élevé pour les applications déployées sur des plateformes cloud publiques accessibles depuis Internet. Le vol de fichiers .env représente un risque en cascade : les credentials récupérés peuvent servir à compromettre des bases de données, des services cloud, des API tierces et potentiellement pivoter vers d'autres systèmes de l'infrastructure. Les 766 hôtes confirmés ne représentent probablement que la partie visible de l'iceberg, les scans automatisés via Shodan et Censys permettant d'identifier rapidement les déploiements Next.js exposés.

Recommandations

• Mettre à jour immédiatement Next.js et React vers les versions corrigées — vérifier que le correctif React2Shell est bien appliqué
• Effectuer une rotation complète de tous les secrets contenus dans les fichiers .env de vos applications Next.js
• Auditer les journaux d'accès de vos serveurs pour détecter des requêtes suspectes ciblant les endpoints Server Functions
• Migrer les secrets applicatifs vers un gestionnaire de secrets dédié plutôt que de les stocker dans des fichiers .env en production

Cette campagne illustre les conséquences durables d'une vulnérabilité critique dans un framework largement déployé. Dès décembre 2025, nous avions couvert la divulgation initiale de React2Shell, suivie par la compromission de LexisNexis affectant 400 000 profils. Le stockage de secrets dans des fichiers .env reste une pratique risquée que cette attaque met en lumière de manière brutale. Pour les équipes qui souhaitent renforcer leur posture de sécurité applicative, un environnement de test permet de valider les correctifs avant déploiement en production. La surveillance comportementale des applications en production reste le meilleur filet de sécurité.