Le monde du développement web est en état d’alerte maximale. Une opération de botnet sophistiquée, baptisée RondoDoX, cible actuellement plus de 90 000 serveurs vulnérables à travers le monde. Sa nouvelle arme ? L’exploit React2Shell (CVE-2025-55182), une vulnérabilité critique affichant le score de gravité maximal de 10,0. Cette faille permet à des attaquants non authentifiés de prendre le contrôle total de serveurs Next.js via une simple requête HTTP malveillante.
L‘opération n’est pas le fruit du hasard. Les chercheurs de The Hacker News et CloudSEK ont suivi l’évolution de RondoDoX depuis mars 2025. Après des mois de tests manuels et d’analyses automatisées sur des CMS comme WordPress ou Drupal, le botnet a intégré React2Shell dans son arsenal quelques jours seulement après sa divulgation publique le 3 décembre dernier.
L’efficacité est terrifiante : Darktrace a observé des compromissions réussies en moins de deux minutes après le déploiement de serveurs tests. Au 31 décembre 2025, la Shadowserver Foundation recensait encore 90 300 instances vulnérables, dont une immense majorité située aux États-Unis.
Une infrastructure de guerre : cryptomineurs et variantes Mirai
Dès le 8 décembre, les opérateurs de RondoDoX ont lancé des tests d’exécution de code à l’aveugle avant de passer à une « weaponisation » complète. Les serveurs compromis sont immédiatement infectés par plusieurs charges utiles :
-
« Poop » : un cryptomineur Linux.
-
« Bolts » : un chargeur persistant qui élimine les logiciels malveillants concurrents et scanne le système toutes les 45 secondes pour empêcher toute réinfection rivale.
-
« x86 » : une variante du célèbre botnet Mirai adaptée aux dispositifs IoT.
Ces malwares sont conçus pour être universels, supportant des architectures allant de l’ARM au PowerPC, garantissant une infection réussie quel que soit l’environnement matériel.
Comment se protéger ?
La menace est globale. Des groupes de cyberattaquants, notamment liés à la Chine, ont déjà été identifiés par Google Cloud, Microsoft et AWS comme exploitant activement cette faille. Notre conseil Goodtech.info : si vous utilisez Next.js, ne perdez pas une seconde. Il est impératif de mettre à jour vos applications vers les versions 15.1.9 (ou supérieures) et 16.0.7 (ou supérieures). En complément, segmentez vos appareils IoT dans des VLAN dédiés et déployez un pare-feu d’applications Web (WAF) pour bloquer les requêtes malformées associées à la campagne RondoDoX.
