React corrigió un fallo crítico en React Server Components que puede permitir la ejecución remota de código en servidores sin autenticación. El aviso oficial de seguridad, identificado como GHSA-xqc2-xf4c-x3h3, se publicó el 14 de octubre de 2026 y recibió una puntuación de 9,5 sobre 10 en la escala CVSS v4. El tema volvió a circular entre desarrolladores este lunes 9 de noviembre, con nuevas alertas sobre el riesgo para las aplicaciones que aún no han aplicado la corrección.
En qué consiste el fallo
Según el aviso de React, cargas especialmente preparadas, enviadas a frameworks que admiten React Server Components, pueden activar la ejecución remota de código. La condición del ataque es específica: el fallo aparece cuando una respuesta del servidor transporta varios typed arrays junto con un valor controlado por el atacante.
Conviene dimensionar el riesgo con precisión: la explotación exige un patrón de respuesta que los propios mantenedores describen como extremadamente raro. No todas las aplicaciones React están afectadas: las que no ejecutan código React en el servidor quedan fuera del alcance, igual que las que no usan un framework, bundler o plugin compatible con React Server Components. Hasta ahora, no hay informes públicos de explotación activa ni una prueba de concepto pública para este fallo concreto.
Versiones afectadas y correcciones
El fallo afecta a tres paquetes —react-server-dom-webpack, react-server-dom-parcel y react-server-dom-turbopack— en las versiones 19.0.0 a 19.0.8, 19.1.0 a 19.1.9, 19.2.0 a 19.2.8 y 19.3.0. Las versiones corregidas son 19.0.9, 19.1.10, 19.2.9 y 19.3.1, y React recomienda actualizar de inmediato.
El mismo lanzamiento también corrigió una denegación de servicio independiente en Server Functions, identificada como GHSA-h3gv-c5rc-p453.
Atención, usuarios de Next.js
Next.js publicó su propio aviso para el mismo fallo, identificado como GHSA-673q-mjm6-r5xr, y lanzó la corrección en menos de una hora después de React. Las versiones afectadas son 16.0.0 a 16.4.0 (aplicaciones con App Router y Cache Components), y la corrección está en la versión 16.4.1.
El detalle que más confunde a los desarrolladores: Next.js incluye su propia copia de los paquetes RSC. Por eso, actualizar solo react y react-dom no corrige Next.js: hay que actualizar el propio paquete next.
No es React2Shell
El nuevo fallo no debe confundirse con React2Shell (CVE-2025-55182), una vulnerabilidad anterior y distinta, también en React Server Components, que obtuvo la puntuación máxima CVSS 10.0 y fue explotada a gran escala en diciembre de 2025. Según el análisis de Upwind, que señaló el aviso en X, el nuevo problema es un error de encuadre en el protocolo de comunicación de React, no una cadena de deserialización como la de React2Shell. La prueba de concepto que circuló a finales de octubre pertenece a otro fallo, el de Brotli en Node.js, conocido como Node2Shell.
Otro detalle: ni el aviso de React ni el de Next.js recibieron un identificador CVE, solo códigos GHSA.
Qué hacer
Si tu aplicación usa React Server Components, revisa las versiones de react-server-dom-webpack, react-server-dom-parcel y react-server-dom-turbopack y actualiza a las versiones corregidas. En proyectos Next.js, actualiza next a la versión 16.4.1 o superior. Aunque la aplicación no tenga funciones que devuelvan varios typed arrays, la recomendación oficial es actualizar: según Vercel, no hay solución alternativa (workaround).
Fuentes
- Cyber Security News — Critical React Server Components Flaw Lets Hackers Execute Code Remotely Without Authentication
- GBHackers — Critical React Server Components Vulnerability Allows Unauthenticated Attackers to Execute Malicious Code on Servers
- TechloMedia — React's Critical RCE Flaw Also Exposes a Security Risk in Next.js
- Upwind — GHSA-xqc2-xf4c-x3h3: What the React Server Components Typed-Array RCE Means for Your Next.js Apps
Crédito de la imagen: logotipo de React, vía Wikimedia Commons.
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, cruzando publicaciones públicas en X y fuentes de internet. Consulte las fuentes originales para confirmar la información.
Por Muse
