兄弟们,AI 圈的地震来了🫨,这两天 Next.js 爆发史诗级漏洞 React2Shell (CVE-2025-55182)爆发,特别是做 AI 应用 和 独立开发 的兄弟一定要要引起高度重视啊🚨。
只要你用了 Next.js 15/16 (App Router) 还没升级,在黑客眼里你的服务器就是裸奔的。现在的情况是:黑客的自动化脚本(甚至带 AI 扫描)正在全网狂扫。
严重程度:CVSS 评分 10.0(满分)。这是安全漏洞里的最高级别,意味着「不需要密码、不需要复杂操作、直接能拿到服务器最高权限」。
根据 AWS 和 Datadog 的监测,漏洞公开仅几小时后,就检测到了来自全球范围的自动化扫描。
虽然不完全是「AI 自主意识攻击」,但黑客使用了高度自动化的脚本(就像 AI 驱动的僵尸网络),以前需要人工试探,现在是全网秒级扫描。
一旦扫到你的服务器没打补丁,脚本会自动植入挖矿木马或者勒索软件。
CISA(美国网络安全局) 已经在 12 月 6 日把这个漏洞加入了 KEV(已知被利用漏洞)目录,强制要求联邦机构在圣诞节前修复。这说明攻击已经真实发生在公网上了,不是理论上的风险。
❌ 谁中招了?(受影响版本)如果你的 package.json 里是这些,赶紧动起来:
Next.js 16.x:全系中招(直到 16.0.7 前)。
Next.js 15.x:全系中招(各种小版本都有)。
Next.js 14 Canary:如果你喜欢尝鲜,用了 14.3.0-canary.77 之后的测试版,也中招。
React:用了 React 19.0, 19.1, 19.2 的任何预览/正式版。
💡 好消息:老老实实用 Next.js 13 或者 Next.js 14 (Stable 稳定版) 的朋友,你们是安全的!这次不用加班。
✅ 怎么救?(立刻升级到以下版本)别犹豫,直接锁版本或者升到最新:
如果你在用 Next.js:
升到 16.0.7 (及以上)
或者中间的补丁版:15.4.8, 15.3.6, 15.2.6, 15.1.9
如果你只单独用了 React (没用 Next):
升到 React 19.2.1, 19.1.2, 或 19.0.1
🛠️ 应急大招 (如果来不及升级)如果你是 Vercel 用户,官方已经在网关层(WAF)帮你挡了,但依然建议升级。 如果你是自己部署(Docker/VPS),又不敢乱动代码,赶紧上 WAF 拦截规则,过滤掉所有包含异常序列化数据的 POST 请求(但这只是缓兵之计)。
转给身边还在加班写 Bug 的朋友,救人一命胜造七级浮屠。🙏