![\"Mar\u00eda](\"https:\/\/www.europesays.com\/es\/wp-content\/uploads\/2025\/12\/maria-bocconi.jpeg\")
<\/a><\/p>\n\n 05 Dec 2025
\n \u00a0\u2022\u00a0
\n ,
\n 3 min. read\n <\/p>\n
![\"React2Shell:](\"https:\/\/www.europesays.com\/es\/wp-content\/uploads\/2025\/12\/react-next-vulnerabilidad-critica.jpg\")
<\/p>\n
Se han descubierto vulnerabilidades cr\u00edticas (CVSS 10)<\/a> que afectan a React y Next.js, y permiten RCE (ejecuci\u00f3n remota de c\u00f3digo sin autenticaci\u00f3n).<\/p>\n Aplicaciones que utilizan React Server Components (RSC) pueden estar en riesgo incluso sin endpoints de Server Functions expuestos.<\/p>\n \nActualizaci\u00f3n: explotaci\u00f3n activa de React2Shell<\/strong> Popularidad e impacto potencial<\/p>\n Estas tecnolog\u00edas son muy populares (React tiene 55,8 millones de descargas semanales en NPM) y seg\u00fan informaci\u00f3n relevada por Wiz Research<\/a>, el 39 % de los entornos cloud contienen instancias vulnerables de React y Next.js afectadas por estas fallas cr\u00edticas (CVE-2025-55182 y CVE-2025-66478).<\/p>\n Esto significa que equipos que desarrollan aplicaciones con estos frameworks deben actuar de inmediato para evitar compromisos en producci\u00f3n.<\/p>\n Impacto en la industria<\/p>\n Servicios populares que dependen de React y Next.js \u2014como plataformas de e-commerce, redes sociales, aplicaciones bancarias, herramientas de productividad y sitios de streaming\u2014 podr\u00edan estar en riesgo si no aplican los parches. Esto significa que un atacante podr\u00eda comprometer servidores que alojan aplicaciones ampliamente utilizadas, afectando la disponibilidad, integridad y privacidad de millones de usuarios.<\/p>\n Incluso si tu aplicaci\u00f3n no implementa endpoints de React Server Functions, puede ser vulnerable si soporta React Server Components.<\/p>\n C\u00f3mo puede explotarse la falla<\/p>\n La falla, reportada por Lachlan Davidson, surge por una deserializaci\u00f3n insegura<\/a>: el servidor no valida correctamente la estructura de los datos que recibe. Esto permite que un atacante env\u00ede una solicitud HTTP malformada y ejecute c\u00f3digo JavaScript con privilegios en el servidor. Paquetes y versiones afectadas React:<\/p>\n Afecta configuraciones por defecto en paquetes react-server-dom-* y en Next.js App Router; incluso apps que no exponen Server Functions pueden ser vulnerables si soportan RSC.<\/p>\n React:<\/p>\n Next.js:<\/p>\n Otros proyectos potencialmente afectados:<\/p>\n C\u00f3mo proteger tu aplicaci\u00f3n<\/p>\n Incidentes similares en el pasado<\/p>\n Este tipo de vulnerabilidad recuerda a fallos hist\u00f3ricos como Log4Shell (2021)<\/a>, que afect\u00f3 a millones de aplicaciones Java por una deserializaci\u00f3n insegura, y a la vulnerabilidad en Apache Struts<\/a> (2017) que permiti\u00f3 RCE masivo.<\/p>\n Ambos incidentes demostraron c\u00f3mo errores en componentes ampliamente usados pueden convertirse en vectores de ataque globales, afectando servicios cr\u00edticos y generando costos millonarios.<\/p>\n Conclusi\u00f3n<\/p>\n React2Shell es una alerta para toda la industria: incluso tecnolog\u00edas modernas y populares no est\u00e1n exentas de riesgos graves. La combinaci\u00f3n de amplia adopci\u00f3n, configuraciones por defecto vulnerables y exposici\u00f3n p\u00fablica convierte esta falla en una amenaza significativa. La acci\u00f3n inmediata es clara: actualizar a las versiones parcheadas, auditar dependencias y aplicar controles adicionales para reducir la superficie de ataque.<\/p>\n","protected":false},"excerpt":{"rendered":"Una vulnerabilidad grave permite ejecuci\u00f3n remota de c\u00f3digo en servidores que usan React Server Components. Descubre c\u00f3mo proteger…\n","protected":false},"author":2,"featured_media":273907,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[81],"tags":[119,123,124,25,24,117,121,122,23,118,120],"class_list":{"0":"post-273906","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-ciencia-y-tecnologia","8":"tag-ciencia","9":"tag-ciencia-y-tecnologia","10":"tag-cienciaytecnologia","11":"tag-es","12":"tag-espana","13":"tag-science","14":"tag-science-and-technology","15":"tag-scienceandtechnology","16":"tag-spain","17":"tag-technology","18":"tag-tecnologia"},"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@es\/115671772986635567","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/posts\/273906","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/comments?post=273906"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/posts\/273906\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/media\/273907"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/media?parent=273906"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/categories?post=273906"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/es\/wp-json\/wp\/v2\/tags?post=273906"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
AWS advirti\u00f3 que la vulnerabilidad React2Shell (CVE-2025-55182) ya est\u00e1 siendo utilizada en ataques dirigidos<\/a> por grupos con nexos en China. La explotaci\u00f3n comenz\u00f3 pocas horas despu\u00e9s de la divulgaci\u00f3n p\u00fablica y se han detectado intentos contra aplicaciones en sectores cr\u00edticos como finanzas, retail y gobierno. Adem\u00e1s, existen pruebas de concepto disponibles en GitHub, lo que aumenta el riesgo de ataques masivos.\n<\/p><\/blockquote>\n
En concreto, el problema ocurre al decodificar payloads del protocolo Flight de RSC, lo que abre la puerta a RCE.<\/p>\n\n
\n
\n
\n