خب بچه‌ها، امروز ظهر (حدود ساعت ۱۲:۳۰ تا ۱:۳۰ به وقت ایران) کلودفلر یهو قاطی کرد و نصف اینترنت دنیا خطای ۵۰۰ زد تو صورتمون 😭

لینکدین خوابید، شاپیفای خوابید، زوم خوابید، کانوا خوابید، اسپاتیفای خوابید، کوین‌بیس خوابید، دیسکورد خوابید، حتی داون‌دیتکتور خودش هم خوابید (آخه کی باید بهمون بگه کی قطعه دیگه؟!)

دلیلش چی بود؟
کلودفلر شبانه یه وصله اضطراری زده بود که نذاره همه‌مون هک شیم!
یه حفره خیلی گنده تو React 19 و Next.js 15/16 پیدا شده به اسم React2Shell (CVE-2025-55182) که دقیقاً مثل لاگ۴شل قدیم عمل می‌کنه: یه درخواست کثیف می‌فرستی، سرور میشه شل تو! بدون لاگین، بدون هیچی، مستقیم RCE با امتیاز ۱۰ از ۱۰!

از چند روز پیش PoC عمومی شده و چینی‌ها و بقیه هکرا دارن مثل نقل و نبات ازش استفاده می‌کنن. کلودفلر هم ترسید همه مشتری‌هاش قتل‌عام شن، یه پچ سریع زد تو سیستم پارس کردن درخواست… نتیجه؟ خودش اول قتل‌عام شد و ۲۸٪ ترافیکش رفت زیر آب 😂

خلاصه ظهر بیدار شدیم (یا داشتیم ناهار می‌خوردیم) دیدیم اینترنت مرده، بعداً فهمیدیم داشتن نجاتش می‌دادن!

الان درست شده (فعلاً!) ولی اگه برنامه‌نویسید و هنوز React 19.x یا Next.js 15/16 با App Router دارید، همین الان آپدیت کنید، وگرنه یه روز صبح بیدار می‌شید می‌بینید سرورتون داره بیت‌کوین ماین می‌کنه واسه عمو لی تو پکن 😅

PoC کامل و تمیز (فقط برای تست تو محیط خودتون، شیطونی نکنیدا!):
https://github.com/msanft/CVE-2025-55182

خلاصه کلام: کلودفلر داره تمرین می‌کنه چطور هر دو بار تو دو هفته اینترنت رو بکشه و بگه «ما داشتیم نجاتتون می‌دادیم» 😂🔥
✅ @SEYED_BAX