Los actores de amenazas están explotando activamente una vulnerabilidad crítica de ejecución remota de código en el Metro Development Server de React Native para distribuir cargas útiles de malware avanzado en sistemas Windows y Linux.

La red de honeypots Canary de VulnCheck detectó por primera vez la explotación operativa de CVE-2025-11953, apodada “Metro4Shell”, el 21 de diciembre de 2025, con ataques continuos observados en enero de 2026. Sin embargo, la vulnerabilidad sigue siendo en gran medida desconocida en el discurso público de seguridad, a pesar de su gravedad.

CVE-2025-11953 afecta al Metro Development Server, incluido en el paquete npm @react-native-community/cli, una herramienta fundamental para el desarrollo de aplicaciones con React Native.

La vulnerabilidad surge de la configuración predeterminada del servidor, que se vincula a interfaces de red externas y expone un endpoint /open-url vulnerable a la inyección de comandos del sistema operativo.

Investigadores de seguridad de JFrog descubrieron que este endpoint pasa la entrada controlada por el usuario directamente a la función insegura open() del paquete npm open, lo que permite a atacantes remotos no autenticados ejecutar comandos de shell arbitrarios.

En sistemas Windows, los atacantes obtienen control total sobre la ejecución de comandos con argumentos arbitrarios, mientras que en macOS y Linux pueden lanzar archivos ejecutables.

La vulnerabilidad tiene una puntuación CVSS de 9.8, lo que refleja su gravedad crítica. Sin embargo, el Exploit Prediction Scoring System (EPSS) le asigna una probabilidad de explotación de solo 0.00405, una desconexión notable con la realidad observada.

Cadena de ataque de múltiples etapas

El análisis de VulnCheck revela que los intentos de explotación no fueron experimentales ni exploratorios, sino que demostraron un despliegue operativo consistente durante varias semanas.

Los ataques emplearon un cargador basado en PowerShell sofisticado, entregado a través de cmd.exe, con la carga útil inicial codificada en base64 para evadir la detección.

El script de PowerShell decodificado ejecuta una secuencia de ataque deliberada diseñada para establecer persistencia y evadir los controles de seguridad de los endpoints. Primero, agrega rutas de exclusión de Microsoft Defender tanto para el directorio de trabajo actual como para el directorio temporal de Windows, asegurando que las actividades maliciosas posteriores evadan el escaneo antivirus.

Luego, el script establece una conexión TCP sin procesar con la infraestructura controlada por el atacante, enviando una solicitud GET /windows para recuperar la siguiente carga útil.

El ejecutable descargado se escribe en el directorio temporal del sistema y se ejecuta con una larga cadena de argumentos. El análisis reveló que el binario está empaquetado con UPX y es un malware basado en Rust que incorpora técnicas anti-análisis, incluyendo comprobaciones en tiempo de ejecución diseñadas para dificultar la inspección estática.

VulnCheck observó que la misma infraestructura de ataque alojaba cargas útiles correspondientes para Linux, lo que demuestra la naturaleza multiplataforma de esta campaña.

El aspecto más significativo de esta campaña es la desconexión temporal entre la explotación y la conciencia pública. VulnCheck detectó la explotación en diciembre de 2025 e incluyó CVE-2025-11953 en su catálogo VulnCheck KEV (Known Exploited Vulnerabilities) el mismo día de la detección inicial.

Sin embargo, a finales de enero de 2026, el discurso público de seguridad sigue enmarcando la vulnerabilidad como teórica en lugar de un vector de intrusión activo.

Esta brecha de inteligencia destaca un desafío persistente en la gestión de vulnerabilidades: los atacantes no esperan a las listas KEV de CISA, los avisos de los proveedores o el consenso de seguridad antes de armar las fallas.

Las herramientas de desarrollo representan objetivos particularmente atractivos porque estos sistemas son generalizados, se monitorean de manera inconsistente y rara vez se tratan como superficies de ataque de nivel de producción.

JFrog publicó un análisis de la causa raíz en noviembre de 2025, seguido de múltiples exploits de prueba de concepto que aparecieron en GitHub. Los clientes de VulnCheck obtuvieron visibilidad del potencial de explotación incluso antes, en noviembre, a través de exploits y reglas de detección Suricata desarrolladas por el equipo de Initial Access Intelligence de VulnCheck.

Esta inteligencia proactiva permitió el despliegue de lógica de detección en la red Canary de VulnCheck antes de que comenzara la explotación generalizada.

Mitigaciones

Las organizaciones que utilizan entornos de desarrollo de React Native deben actualizar inmediatamente a la versión 20.0.0 o posterior del paquete @react-native-community/cli, que soluciona la vulnerabilidad. Esta afecta a las versiones desde la 4.8.0 hasta la 20.0.0-alpha.2.

La infraestructura de desarrollo debe tratarse como una superficie de ataque de nivel de producción, independientemente de su propósito original. Los servidores Metro Development nunca deben exponerse a redes no confiables, y la segmentación de red debe aislar los entornos de desarrollo de las interfaces accesibles desde Internet.

CVE-2025-11953 refuerza un patrón crítico que los defensores siguen reaprendiendo: la explotación comienza en el momento en que los sistemas vulnerables se vuelven accesibles, no cuando los catálogos autoritativos reconocen la amenaza.

Las organizaciones no pueden permitirse esperar al consenso antes de implementar medidas defensivas contra vulnerabilidades activamente explotadas que atacan los flujos de trabajo de los desarrolladores.

Indicadores de compromiso

Infraestructura de red

Hashes de archivos