Con React2Shell il problema non è solo l’RCE appena resa pubblica. Il punto è che alcuni gruppi legati alla Cina passano dallo sfruttamento al furto di credenziali nello stesso arco di giornata, così la compromissione diventa un problema di identità prima che molte squadre finiscano di verificare l’esposizione.
CrowdStrike ha osservato Vault Panda e Genesis Panda usare React2Shell entro 24 ore dalla disclosure, contro React Server Components e applicazioni Next.js. Dopo l’accesso iniziale, hanno impiegato RAT per attività post-exploit, incluso il credential harvesting; nel report, l’88% delle vulnerabilità sfruttate nel primo semestre 2026 risultava già compromesso entro 48 ore dalla pubblicazione.
Il quadro che emerge è una compressione netta dei tempi. La disclosure non apre più una finestra comoda per il patching: apre subito una fase in cui gli attaccanti possono già essere dentro e muoversi sulle credenziali, e questo vale soprattutto per i servizi esposti su Internet e per chi gestisce session token e accessi applicativi.