La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha añadido la CVE-2025-11953 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), señalando una falla de inyección de comandos en el sistema de línea de comandos (CLI) de React Native Community como activamente explotada en la naturaleza. Añadida el 5 de febrero de 2026, con un plazo federal de parcheo para el 26 de febrero de 2026, la vulnerabilidad representa riesgos graves

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) ha añadido CVE-2025-11953 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), señalando una falla de inyección de comandos del sistema operativo en la CLI de la Comunidad React Native como activamente explotada en la naturaleza. Añadida el 5 de febrero de 2026, con un plazo federal de parcheo para el 26 de febrero de 2026, la vulnerabilidad representa riesgos graves para los desarrolladores que ejecutan servidores de desarrollo Metro expuestos. React Native, un marco popular para aplicaciones móviles multiplataforma utilizado por empresas como Meta y Shopify, depende de la CLI de la Comunidad para la gestión de proyectos y del bundler Metro para un empaquetado rápido. Los atacantes pueden explotar un punto final vulnerable enviando solicitudes POST no autenticadas y ejecutar ejecutables arbitrarios de forma remota. En Windows, esto escala a un control total del shell con argumentos especificados por el atacante, permitiendo el despliegue de ransomware, la exfiltración de datos o la instalación de puertas traseras persistentes. Esta falla de código abierto podría propagarse a través de bibliotecas de terceros y aplicaciones propietarias, amplificando los riesgos en la cadena de suministro. Aunque aún no hay atribución de ransomware, los actores de amenazas favorecen este tipo de vulnerabilidades en herramientas de desarrollo para el acceso inicial en campañas de APT. Las empresas con tuberías CI/CD o entornos de desarrollo enfrentan amenazas elevadas. Los servidores Metro expuestos —comunes en flujos de trabajo de desarrollo local— permiten el movimiento lateral si se encadenan con una segmentación de red débil. Los equipos de SOC deberían buscar solicitudes POST anómalas a puntos finales de la CLI (por ejemplo, /cli/debugger) e indicadores de compromiso (IOCs) como procesos inesperados.

• Parcheo inmediato: Actualiza la CLI mediante las correcciones de GitHub; verifica con npx @react-native-community/cli@latest doctor.
• Sigue BOD 22-01: Refuerza los servicios en la nube (AWS, Azure) con acceso de mínimo privilegio.
• Defensas: Bloquea los puertos de Metro (8081 por defecto); usa EDR para monitorear la línea de comandos; suspende el uso sin parches.
• Consultas de caza: Reglas Sigma para cmd.exe /c con argumentos de CLI o picos de tráfico en Metro.

CISA instas a las agencias FCEB a actuar con rapidez. Desarrolladores: nunca expongas servidores de desarrollo públicamente. Esto sirve como recordatorio: las herramientas de desarrollo son objetivos principales en la expansión de la superficie de ataque de 2026.

Fuentes:
https://cybersecuritynews.com/react-native-command-injection-flaw/