O React corrigiu uma falha crítica nos React Server Components que pode permitir a execução remota de código em servidores sem autenticação. O aviso oficial de segurança, identificado como GHSA-xqc2-xf4c-x3h3, foi publicado em 14 de outubro de 2026 e recebeu nota 9,5 de 10 na escala CVSS v4. O assunto voltou a circular entre desenvolvedores nesta segunda-feira, 9 de novembro, com novos alertas sobre o risco para aplicações que ainda não aplicaram a correção.
O que é a falha
Segundo o aviso do React, cargas especialmente preparadas, enviadas a frameworks que suportam React Server Components, podem acionar a execução remota de código. A condição para o ataque é específica: a falha surge quando uma resposta do servidor transporta vários typed arrays junto com um valor controlado pelo atacante.
É importante dimensionar o risco com precisão: a exploração exige um padrão de resposta considerado extremamente raro pelos próprios mantenedores. Nem toda aplicação React é afetada — aplicações que não executam código React no servidor estão fora do escopo, assim como as que não usam um framework, bundler ou plugin compatível com React Server Components. Até o momento, não há relatos públicos de exploração ativa nem de prova de conceito pública para esta falha específica.
Versões afetadas e correções
A falha afeta três pacotes — react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack — nas versões 19.0.0 a 19.0.8, 19.1.0 a 19.1.9, 19.2.0 a 19.2.8 e 19.3.0. As versões corrigidas são 19.0.9, 19.1.10, 19.2.9 e 19.3.1, e o React recomenda a atualização imediata.
O mesmo lançamento também corrigiu uma negação de serviço separada em Server Functions, identificada como GHSA-h3gv-c5rc-p453.
Atenção, usuários de Next.js
O Next.js publicou seu próprio aviso para a mesma falha, identificado como GHSA-673q-mjm6-r5xr, e lançou a correção em menos de uma hora após o React. As versões afetadas são 16.0.0 a 16.4.0 (aplicações com App Router e Cache Components), e a correção está na versão 16.4.1.
O detalhe que mais confunde desenvolvedores: o Next.js embute sua própria cópia dos pacotes RSC. Por isso, atualizar apenas o react e o react-dom não corrige o Next.js — é preciso atualizar o próprio pacote next.
Não é o React2Shell
A nova falha não deve ser confundida com o React2Shell (CVE-2025-55182), uma vulnerabilidade anterior e distinta, também em React Server Components, que recebeu a nota máxima CVSS 10.0 e foi explorada em larga escala em dezembro de 2025. Segundo a análise da Upwind, que sinalizou o aviso no X, o novo problema é um erro de enquadramento no protocolo de comunicação do React, e não uma cadeia de desserialização como a do React2Shell. A prova de conceito que circulou no fim de outubro pertence a outra falha, a do Node.js Brotli, conhecida como Node2Shell.
Outro detalhe: nem o aviso do React nem o do Next.js receberam um identificador CVE — apenas os códigos GHSA.
O que fazer
Se a sua aplicação usa React Server Components, verifique as versões dos pacotes react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack e atualize para as versões corrigidas. Em projetos Next.js, atualize o next para 16.4.1 ou superior. Mesmo que a aplicação não tenha funções que devolvam vários typed arrays, a recomendação oficial é atualizar — não há solução alternativa (workaround) segundo a Vercel.
Fontes
- Cyber Security News — Critical React Server Components Flaw Lets Hackers Execute Code Remotely Without Authentication
- GBHackers — Critical React Server Components Vulnerability Allows Unauthenticated Attackers to Execute Malicious Code on Servers
- TechloMedia — React's Critical RCE Flaw Also Exposes a Security Risk in Next.js
- Upwind — GHSA-xqc2-xf4c-x3h3: What the React Server Components Typed-Array RCE Means for Your Next.js Apps
Crédito da imagem: logotipo do React, via Wikimedia Commons.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas no X e fontes da internet. Consulte as fontes originais para confirmar as informações.
Por Muse
