A principios de diciembre se detectó una vulnerabilidad grave en React Server Components (RSC), la parte de React usada para ejecutar lógica en servidores. Esta, bautizada como React2Shell y registrada con el nombre en código de CVE-2025-55182, permite que un atacante remoto -sin necesidad de credenciales ni permisos normales- envíe una petición maliciosa y ejecute código arbitrario en un servidor vulnerable.
También inquieta bastante que el fallo afecte a una tecnología que se encuentra en todas partes, como webs, apps, plataformas, servicios cloud, etc.
Aunque no todos los servidores con React están salpicados, se calcula que decenas de miles de instalaciones expuestas -incluso muchas en entornos cloud- podrían ser vulnerables, lo que convierte al problema en una amenaza masiva para sitios, servicios y empresas.
Más allá de React, CVE-2025-55182 también tiene su impacto en otros marcos relacionados, incluidos Next.js, Waku, React Router y RedwoodSDK.
Un ‘butrón’ aprovechado por piratas asiáticos
Los ciberataques no se han hecho esperar, provenientes de grupos vinculados a estados nación. En esas campañas, los atacantes buscan instalar malware o puertas traseras, robar credenciales, acceder a datos sensibles o usar servidores comprometidos para actividades ilícitas, como minado de criptomonedas.
En un primer momento fueron piratas informáticos de China los que trataron de aprovechar la brecha, pero luego le tocó el turno a hackers norcoreanos. Estos emplean un malware llamado EtherRAT, que instala backdoors, roba credenciales y obtiene control persistente del servidor.
La firma de seguridad Sysdig ha observado ataques sofisticados que implican el despliegue del malware como un implante de acceso persistente “que combina técnicas de al menos tres campañas documentadas en una única cadena de ataque no denunciada previamente”.
La compañía no se moja del todo en quién está detrás. Según destaca, el Grupo Lazarus y otros actores de amenazas afiliados a Corea del Norte sí que suelen incluir Node.js en sus cargas útiles.
No obstante, también podría ocurrir que otro “actor sofisticado pueda estar combinando técnicas de múltiples campañas documentales para complicar la atribución”.
Acerca del autor
