El fallo, identificado como CVE-2025-11953 (Metro4Shell), afecta al Metro Development Server incluido por defecto en el paquete npm @react-native-community/cli. Investigadores han confirmado ataques reales que permiten a actores remotos lograr ejecución remota de código (RCE) sin interacción previa, ampliando de forma significativa la superficie de ataque en entornos DevOps y CI/CD.

El exploit observado emplea scripts de PowerShell ofuscados, diseñados para desactivar mecanismos de protección, establecer comunicaciones con infraestructura controlada por el atacante y ejecutar código adicional de forma persistente. La ausencia de autenticación facilita el compromiso silencioso de estaciones de trabajo y servidores, especialmente cuando el servicio se encuentra expuesto a redes no confiables.

Puntos clave del incidente

• RCE sin autenticación

• Compromiso de entornos de desarrollo y CI/CD

• Riesgo de robo de código y ataques a la cadena de suministro

• Uso de técnicas evasivas para evitar la detección

El impacto potencial incluye exfiltración de código fuente, manipulación de artefactos de software y el uso de los sistemas comprometidos como punto de entrada para ataques posteriores, lo que convierte a esta vulnerabilidad en una amenaza relevante para organizaciones con flujos de desarrollo colaborativos.

Se recomienda actualizar de inmediato @react-native-community/cli, restringir el acceso del Metro Server a redes internas, monitorizar comportamientos anómalos y reforzar la seguridad con EDR/XDR. La explotación activa de Metro4Shell refuerza la necesidad de proteger las herramientas de desarrollo con el mismo nivel de prioridad que los sistemas en producción.

Más información