در ۵ دقیقه می‌توان چند رکورد جهانی DDoS را ثبت کرد، اما در همان ۵ دقیقه نیز می‌توان شاهد یکی از نادرترین رخدادهای Security-Induced Outage  بود. دقیقاً همان چیزی که امروز در Cloudflare رخ داد.
این قطعی یک اختلال ساده شبکه نبود، یک اثر جانبیِ کاملاً فنی از برخورد مستقیم امنیت با معماری لایه 7 در مقیاس جهانی بود. در ادامه در سلام دیجی، مقاله‌ای تحلیلی، عمیق و مبتنی بر مفاهیم Real-World Edge Architecture ارائه شده است. تحلیلی که می‌تواند برای تیم‌های SecOps، DevOps، Cloud Engineering، AppSec و Incident Response مرجع باشد.

ریشه حادثه: وقتی React2Shell به لایه Edge نفوذ می‌کند

آسیب‌پذیری React2Shell (CVE-2025-55182)  تنها یک باگ معمولی در RSC نبود.
این آسیب‌پذیری در اصل یک Template Injection → Remote Code Execution  بود که در مسیر پردازش Component Tree و SSR Rendering فعال می‌شد.

اما نکته حیاتی اینکه این آسیب‌پذیری فقط روی اپلیکیشن‌ها نبود بلکه روی Edge Runtime نیز قابل سوءاستفاده بود.

این یعنی هر محیطی که:

✔️ JSON Payload را Parse کند

Request Body ✔️  را پردازش کند

Template Rendering ✔️انجام دهد

✔️ یا حتی Workers logic را اجرا کند

در معرض فعال‌سازی Payload قرار می‌گرفت. به همین دلیل Cloudflare مجبور شد یک پچ فوری روی کل HTTP Request Parsing Engine  اعمال کند.

چرا یک پچ امنیتی باعث خطای 500 گسترده شد؟

پچ Cloudflare در حساس‌ترین نقطه سیستم اعمال شد: Body Parsing Pipeline

محلی که کوچک‌ترین تغییر در موارد زیر، کل مسیر لایه 7 سیستم را دچار خطا می‌کند:

Content-Length Handling

Chunked Encoding Interpretation

Boundary Validation

JSON Streaming Parser

Request Size Estimation

Pre-Sanitization Hooks

Cloudflare  مجبور بود قبل از رسیدن درخواست‌ها به WAF، API Gateway  یا Workers، Payload را Validate کند.

اما این پچ مکانیزم‌های قبلی Parsing → Caching → Routing را دچار mismatch کرد.

نتیجه اینکه:

✔️ بخشی از درخواست‌ها malformed شناخته شدند

✔️ برخی به دلیل mismatch در Body Length reject شدند

✔️ تعدادی در بخش Transform Rules گیر کردند

✔️ و بسیاری توسط سیستم لایه 7 به صورت پیش‌فرض 500 برگردانده شدند

طبق آمار Cloudflare، تقریباً ۲۸٪ کل ترافیک HTTP جهانی دچار خطای 500 شد.

چرا اختلال جهانی شد؟ وابستگی به یک نقطه شکست معماری

Cloudflare  هرچقدر هم توزیع‌شده باشد، همه قابلیت‌های بزرگش به یک موتور مرکزی وابسته‌اند:

HTTP Request Parsing Engine = Single Logical Failure Point

بخش‌هایی که به آن وابسته‌اند:

WAF Engine

API Gateway

Workers

Access Rules

Rate Limiting

Caching Rules

Transform Functions

Bot Management

وقتی parsing engine حتی یک درصد رفتار غیرمنتظره نشان دهد، همه این اجزا از کار می‌افتند.

چرا Cloudflare مجبور شد پچ را فوراً اعمال کند؟

دو دلیل اساسی برای این تصمیم وجود داشت:

1.Exploit  فعال بود و PoC عمومی شده بود

در چند ساعت ، نه روز! گروه‌های امنیتی گزارش کردند که اسکن‌های خودکار شروع شده، تست Payloadها روی سرورهای exposed مشاهده شده و حملات هدفمند علیه سرویس‌دهنده‌های React فعال شده. این یعنی وقت برای test + rollout دقیق نبود.

2.خطر Compromise روی Edge بسیار جدی‌تر از Downtime بود

سواستفاده از React2Shell در سطح Edge می‌توانست منجر به اجرای کد روی Workers Runtime، تزریق Payload در مسیر CDN Routing، آلوده‌سازی Cacheهای منطقه‌ای، اجرای کد سمت کاربر همراه با SSR، اگر حتی یک PoP compromise می‌شد، اثر آن چندین برابر بدتر از 15–20 دقیقه Downtime بود.

Cloudflare  مجبور بود از این دو مسیر یکی را انتخاب کند: Downtime  کوتاه‌مدت یا Compromise  سراسری و انتخاب Cloudflare از نظر امنیتی درست بود.

درس‌هایی که تیم‌های امنیت و DevOps باید جدی بگیرند

این حادثه یک نمونه عالی از Security Complexity at Scale  بود.

۱. امنیت بدون ریسک وجود ندارد

Patch هم می‌تواند سیستم را از کار بیندازد اگر Fail-Safe درست طراحی نشده باشد.

۲.  Vendor Lock-in همیشه یک ریسک معماری است

وقتی ۲۰٪ اینترنت پشت یک لایه مشترک قرار دارد، هر باگ کوچک → بحران جهانی.

۳.  Frontend Frameworkها عملاً به Attack Surface Backend تبدیل شده‌اند

دوران Frontend فقط UI است تمام شده.
React2Shell نشان داد RSC می‌تواند منجر به RCE شود.

۴.  Testing در Edge پیچیده‌تر از Datacenter است

به دلیل:

Traffic Diversity✔️

Variations Across PoPs✔️

Race Conditions✔️

Multi-layer Caching✔️

Geo-specific Differences✔️

۵.  Incident Response در معماری‌های فوق‌مقیاس باید proactive باشد

Cloudflare  مجبور بود بدون تمام تست‌ها پچ را rollout کند. این همان واقعیت سخت امنیت با مقیاس میلیاردی است.

جمع‌بندی: 

این حادثه یک درس مهم برای همه ما دارد: امنیت همیشه اولویت دارد، اما امنیت بدون معماری resilient، می‌تواند به failure cascade منجر شود.

Cloudflare  با انتخاب یک پچ سریع و پرخطر، جلوی یک compromise جهانی را گرفت، اما نشان داد دنیای امروز امنیت سایبری در مقیاس وب جهانی چقدر شکننده است.

در عصر Zero-Dayهای سریع، exploitهای خودکار و لایه‌های توزیع‌شده، بهای امنیت یک لحظه قطعی است نه یک فاجعه جهانی.