Barracuda Application Protection protège contre les vulnérabilités critiques de React et de Next.js

Atténuer les menaces critiques d'exécution de code à distance (RCE) de React et Next.js avec Barracuda Application Protection

Ce qu’il faut retenir

• Deux récentes vulnérabilités de RCE permettent une exploitation non authentifiée dans certaines applications internes ou destinées aux clients.
• Les clients utilisant React Server Components (19.0.0–19.2.0) ou des versions spécifiques de Next.js doivent effectuer la mise à jour immédiatement et consulter les instructions de Barracuda Campus.
• Barracuda Application Protection offre une défense proactive grâce à la détection basée sur les signatures, l’analyse comportementale et le renseignement sur les menaces piloté par l’IA, et ce sans aucune intervention manuelle.
• BarracudaONE offre une visibilité centralisée et des défenses multicouches en matière de sécurité des emails, des réseaux et des applications, garantissant ainsi la résilience face à l’évolution des menaces.

Deux vulnérabilités critiques d’exécution de code à distance (RCE) récemment divulguées —CVE-2025-55182 et CVE-2025-66478— représentent une menace sérieuse pour les applications basées sur React et Next.js. Ces failles permettent aux pirates d'exécuter du code arbitraire sur les systèmes vulnérables, ce qui peut entraîner la compromission des applications, un accès non autorisé et une perte potentielle de données.  

Pourquoi ces éléments sont importants 

L’exploitation ne nécessite aucune authentification, ce qui permet aux acteurs de la menace de prendre rapidement le contrôle des applications, de voler des données sensibles ou de perturber les services essentiels. React et Next.js alimentant d’innombrables applications, aussi bien destinées aux clients qu’internes, la surface d’attaque est considérable et le risque est immédiat. Les organisations qui ne disposent pas de protections solides sont très exposées.  

Protection de l’application Barracuda — recommandations

Dans le cadre de Barracuda Application Protection, Barracuda Web Application Firewall (WAF) et Barracuda WAF-as-a-Service offrent une protection automatique contre les attaques d’exécution de code à distance telles que celles présentées par ces vulnérabilités. Les mises à jour de sécurité sont régulièrement déployées pour tous les clients utilisant les versions 12.1, 12.2 et GA, prises en charge par le système de renseignements sur les menaces de Barracuda, qui offre une défense en temps réel grâce aux mises à jour des signatures et à la détection active. 

Pour les clients qui ont react-server-dom* (19.0.0, 19.1.0, 19.1.1 et 19.2.0) ou Next.js (16.0.7, 15.5.7 et 15.4.8) présents dans leur environnement, nous recommandons fortement de suivre les conseils contenus dans ces articles Barracuda Campus, qui seront mis à jour au fur et à mesure que de nouvelles informations seront disponibles :

• https://campus.barracuda.com/product/webapplicationfirewall/doc/788704332/cve-2025-55182-react-next-js-remote-code-execution-vulnerabilities/
• https://campus.barracuda.com/product/loadbalanceradc/doc/788617632/cve-2025-55182-react-next-js-remote-code-execution-vulnerabilities/
• https://campus.barracuda.com/product/WAAS/doc/788639261/cve-2025-55182-react-next-js-remote-code-execution-vulnerabilities/

Nous conseillons à tous nos clients de revoir l’inventaire de leurs applications afin d’identifier toute utilisation de React ou Next.js avec les composants du serveur React, et d’effectuer une mise à jour vers les dernières versions de React (19.2.1) et Next.js (16.0.7, 15.5.7 et 15.4.8).

Pour les environnements qui n’utilisent pas les versions vulnérables de React ou Next.js, aucune autre action n’est nécessaire pour le moment.  

Notre engagement

Barracuda s’engage à aider les entreprises à rester résilientes face à l’évolution des menaces.  

Barracuda Application Protection fournit :

• Des protections automatiques : bloque instantanément les charges utiles malveillantes conçues pour exploiter les vulnérabilités de React et Next.js.
• Des défenses multicouches : combine la détection basée sur les signatures, l’analyse comportementale et des renseignements sur les menaces basés sur l’IA pour stopper les tentatives de RCE.
• Des mises à jour permanentes : mises à jour des signatures en temps réel grâce au réseau mondial de renseignements sur les menaces de BARRACUDA, et ce sans aucune intervention manuelle.
• Facilité d'utilisation : Visibilité et contrôle centralisés via la plateforme de cybersécurité BarracudaONE, garantissant des défenses solides sans complexité supplémentaire.

Qu’il s’agisse de la sécurité des emails, du réseau ou des applications, notre approche unifiée garantit que clients et partenaires peuvent opérer en toute confiance, même lorsque les pirates ciblent de nouvelles vulnérabilités.