Un fallo de seguridad crítico en los React Server Components puede permitir que los atacantes ejecuten código de forma remota sin necesidad de iniciar sesión. React publicó el aviso, rastreado como GHSA-xqc2-xf4c-x3h3, el 14 de octubre de 2026. El problema tiene una puntuación CVSS v4 de 9.5, y el equipo de React recomienda que actualices inmediatamente las aplicaciones afectadas.

El fallo afecta a react-server-dom-webpack, react-server-dom-parcel y react-server-dom-turbopack. Estos paquetes dan soporte a los React Server Components a través de diferentes herramientas de construcción.

La explotación requiere un patrón de respuesta extremadamente raro que implica múltiples matrices tipadas (typed arrays) y un valor controlado por un atacante. El simple hecho de usar React no hace que todas tus aplicaciones sean vulnerables.

Vulnerabilidad de React Server Components

Según React, cargas útiles (payloads) diseñadas específicamente contra frameworks que admiten React Server Components pueden provocar la ejecución remota de código. Las matrices tipadas almacenan datos numéricos en formatos definidos.

El aviso identifica que la condición relevante son las respuestas que contienen varias de estas matrices junto con datos controlados por el atacante, pero no publica un desglose técnico completo ni instrucciones de explotación.

La calificación de severidad refleja el impacto potencial a pesar de ese requisito tan estrecho. Un atacante no necesita privilegios de cuenta y la explotación no requiere interacción del usuario. El aviso califica como alta la posible afectación a la privacidad de los datos, la integridad de los mismos y la disponibilidad del servicio. Sin embargo, su descripción pública no establece qué tan común es el patrón de aplicación requerido en entornos de producción.

Esta revelación sigue a problemas de seguridad anteriores de React cubiertos en los informes sobre la explotación de React2Shell. No debes confundir esos ataques con este aviso.

React2Shell fue rastreado como CVE-2025-55182, mientras que el aviso de octubre no enumera ningún identificador CVE conocido. La evidencia de ataques contra el fallo antiguo no confirma la explotación de este problema más reciente.

Versiones Afectadas y Soluciones Disponibles

El aviso de seguridad oficial de React enumera las versiones afectadas como la 19.0.0 hasta la 19.0.8, la 19.1.0 hasta la 19.1.9, la 19.2.0 hasta la 19.2.8 y la 19.3.0 en los tres paquetes. Las versiones corregidas son 19.0.9, 19.1.10, 19.2.9 y 19.3.1. Las tablas de paquetes del aviso confirman la 19.0.9, a pesar de una errata que muestra "19.0.09" en la descripción del parche.

También se han cubierto vulnerabilidades relacionadas de Next.js, incluyendo un problema de Cache Components que involucra múltiples matrices tipadas. Para este fallo de React, debes comprobar las versiones instaladas de tus paquetes server-dom comparándolas con los rangos oficiales afectados en lugar de confiar en guías de parches antiguas.

React recomienda explícitamente que actualices los paquetes afectados de inmediato. Las aplicaciones que no tengan código de React en el lado del servidor no están afectadas, así como tampoco aquellas que no utilicen un framework, empaquetador o plugin que soporte React Server Components.

El aviso público tampoco afirma que haya una explotación activa. Estas distinciones son importantes cuando evalúas tu exposición y reportas la vulnerabilidad con precisión.