Recientemente se han revelado múltiples vulnerabilidades críticas de seguridad en los Componentes de Servidor de React, que permiten a actores maliciosos lanzar ataques de Denegación de Servicio (DoS) contra servidores vulnerables. Las fallas, registradas como CVE-2026-23864 con una puntuación CVSS de 7.5, se deben a parches incompletos de correcciones de seguridad anteriores y requieren una remediación inmediata. 

Recientemente se han revelado múltiples vulnerabilidades críticas de seguridad en los Componentes del Servidor de React, lo que permite a actores malintencionados lanzar ataques de Denegación de Servicio (DoS) contra servidores vulnerables.

Las fallas, identificadas como CVE-2026-23864 con una puntuación CVSS de 7.5, se deben a parches incompletos de correcciones de seguridad anteriores y requieren una remediación inmediata.

Investigadores de seguridad descubrieron vectores de ataque adicionales durante las pruebas de eficacia de los parches anteriores, demostrando que múltiples vulnerabilidades de DoS persisten en el framework. 

Detalles de la vulnerabilidad

Las vulnerabilidades afectan a tres paquetes npm que manejan los Componentes del Servidor de React: react-server-dom-webpack, react-server-dom-parcel y react-server-dom-turbopack.

Los atacantes pueden explotar estas fallas enviando solicitudes HTTP especialmente diseñadas a los endpoints de Funciones del Servidor, provocando bloqueos del servidor, excepciones de falta de memoria o un consumo excesivo de CPU.

La gravedad y el impacto de la explotación dependen del camino específico del código vulnerable que se ejecute, la configuración de la aplicación y el código subyacente de la misma.

Las organizaciones que utilizan frameworks y empaquetadores de React, como Next.js, React Router, Waku, @parcel/rsc, @vite/rsc-plugin y rwsdk, están expuestas a estas vulnerabilidades.

La divulgación sigue un patrón típico en la gestión de vulnerabilidades críticas, donde los parches iniciales son examinados por investigadores de seguridad que exploran caminos de código adyacentes en busca de técnicas de evasión.

Este proceso iterativo, aunque a veces frustrante, representa un ciclo de respuesta de seguridad saludable similar a lo ocurrido tras la vulnerabilidad Log4Shell.

Versiones afectadas y parches

Las aplicaciones que no utilizan Componentes del Servidor de React o código React en el lado del servidor no se ven afectadas por estas vulnerabilidades.

De igual manera, las aplicaciones sin un framework, un empaquetador o un plugin de empaquetador que soporte Componentes del Servidor de React no enfrentan ningún riesgo.

Según el aviso publicado, los usuarios de React Native que operan en entornos monorepo deben actualizar.