El Código Enemigo Ejecutándose en tu Stack React

El primer payload no llegó como alerta. Llegó como un POST legítimo a un endpoint de React Server Function, idéntico a miles de solicitudes diarias que procesan transacciones, consultas de usuarios, sincronización de estado. El servidor lo recibió. Lo deserializó. Lo ejecutó.

Scattered Spider no forzó credenciales. No buscó exploits en el perímetro. Enviaron un JSON malformado directamente al corazón de la aplicación — y el servidor React lo interpretó como instrucción válida. Sin autenticación. Sin validación. Sin alerta.

En catorce segundos, el atacante tenía shell. En noventa segundos, mapeó la red interna. En cuatro minutos, identificó el bridge hacia el dashboard HMI que controlaba setpoints de equipos críticos en planta.

El puente estaba abierto. Y nadie lo había visto construirse.

Detección

KEV-1 registró la anomalía a las 14:47:33 UTC. No fue la solicitud en sí — esas eran legítimas por diseño. Fue el patrón de respuesta: un endpoint React Server Function que típicamente devolvía JSON estructurado comenzó a emitir cadenas de texto plano con sintaxis de intérprete de comandos.

Endpoint /api/server-action ejecutó deserialización anómala. Patrón de salida no coincide con esquema React esperado. Tiempo de procesamiento: 840ms — baseline normal 120ms. Payload entrante contiene estructuras anidadas no documentadas en el contrato de función.

El log llegó al SOC tres minutos después. Eris lo leyó dos veces antes de levantar el teléfono. El patrón era demasiado limpio para ser ruido — y demasiado silencioso para ser accidente.

CVE-2025-55182. React Server Components. CVSS 10.0. Ejecución remota sin autenticación mediante deserialización de payloads malformados. MITRE T1190 — Exploit Public-Facing Application. El atacante ya tiene shell. Necesito confirmación de lateralización y mapeo de activos conectados al servidor comprometido.

Eris dejó de escribir exactamente un segundo cuando el CISO apareció en el umbral del SOC. La pausa fue imperceptible para cualquiera que no conociera su ritmo. Luego continuó teclando sin levantar la vista.

Escalación · Análisis · Contención · Forensia

NeonMind activó el Fast Response Protocol a las 14:52. No esperó confirmación de impacto. Un CVSS 10.0 con RCE sin autenticación no requería debate — requería contención.

FRP activo. Prioridad uno: aislar el servidor React comprometido de la red corporativa. Prioridad dos: inventariar todos los endpoints React Server Functions expuestos públicamente. Prioridad tres: mapear conectividad entre aplicaciones web y sistemas de backend críticos. Magna, necesito saber qué toca este servidor además de usuarios finales.

Magna entró en la llamada desde el centro de datos industrial. Su tono era más grave de lo habitual.

El servidor React comprometido alimenta el dashboard HMI del sistema de control de planta. React Server Components servían visualizaciones en tiempo real de setpoints, alarmas y estado de equipos. Si el atacante pivotea desde la aplicación web hacia las APIs internas que consultan el SCADA, tiene línea de vista directa a los controladores.

NeonMind cerró los ojos. Cuando los abrió, su voz era más fría.

Stratos, dame estado de segmentación cloud. ¿El contenedor React comprometido tiene rutas hacia otros servicios críticos?

El contenedor está en ECS, misma VPC que las Lambda functions que consultan base de datos de producción y los servicios de autenticación OAuth. La segmentación existe en teoría. En práctica, los security groups permiten tráfico saliente sin restricciones. El atacante puede alcanzar cualquier endpoint interno desde ese contenedor.

El silencio duró cuatro segundos. Luego NeonMind habló con la precisión quirúrgica de alguien que está cortando algo vivo.

Contención inmediata. Desconectar el servidor React de la red. Rollback a snapshot anterior si está disponible. Si no, kill del contenedor y despliegue limpio desde imagen base verificada. Magna, coordina con operaciones para cambiar dashboards HMI a modo standalone sin conectividad web hasta que tengamos el entorno sanitizado.

La forensia comenzó en paralelo. Eris revisó los logs de acceso a las React Server Functions durante las últimas 72 horas. El patrón emergió lentamente: catorce solicitudes con payloads anómalos, todas provenientes de la misma subred TOR, todas dirigidas al mismo endpoint, todas fallidas — excepto la última.

Scattered Spider probó la superficie durante tres días antes de lograr la deserialización exitosa. Ajustaron el payload progresivamente hasta encontrar la estructura exacta que React Server Functions interpretaba como código ejecutable. Esto no fue oportunismo — fue ingeniería inversa metódica del comportamiento del framework.

Inteligencia

Blacktrace entró en la llamada sin saludar.

CVE-2025-55182 no tiene víctimas públicas documentadas en 90 días. Cero cobertura en foros. Cero malware indexado. Cero IOCs compartidos. Scattered Spider está usando esta capacidad de forma selectiva — probablemente reservada para targets de alto valor o operaciones encubiertas. La ausencia de ruido público es la señal. Cuando un CVE 10.0 no genera actividad visible, significa que alguien lo está explotando con cuidado.

Eris cruzó la información con los TTPs conocidos del grupo. El perfil coincidía: Scattered Spider operaba con social engineering sofisticado, movimiento lateral cauteloso, persistencia prolongada. No eran ruidosos. No dejaban huellas innecesarias. Y cuando encontraban un vector limpio, lo preservaban.

El grupo tiene historial de compromisos a proveedores cloud y telecomunicaciones. Su interés no es el servidor React en sí — es lo que ese servidor puede alcanzar. Si lograron shell, el siguiente paso es mapear la red interna, identificar sistemas de autenticación, y establecer persistencia en servicios con mayor privilegio. MITRE T1059.001 — Command and Scripting Interpreter. Están preparando el terreno para algo más grande.

Conflicto

Magna revisó los logs del dashboard HMI comprometido. React Server Components alimentando visualizaciones SCADA industrial — otra arquitectura que cruzó la línea invisible entre TI y OT sin que nadie documentara el riesgo. NeonMind archivó el reporte sin comentar. Cuando el stack web encuentra el acero, las decisiones se vuelven más pesadas.

Confirmado: el servidor React tenía conectividad bidireccional con las APIs del sistema de gestión de planta. Los dashboards consultaban estado en tiempo real — pero también podían enviar comandos de ajuste de setpoints si el usuario autenticado tenía privilegios de operador. El atacante con shell en ese contenedor podría haber simulado esas llamadas API sin pasar por la interfaz web.

NeonMind respiró lento. La pregunta no era técnica — era operativa.

¿Cuánto tiempo estuvo el atacante dentro antes de que KEV-1 detectara la anomalía?

KEV-1 respondió con precisión milimétrica.

Desde el timestamp del payload exitoso hasta la detección: diecisiete minutos, cuarenta y dos segundos. Durante ese período, el contenedor comprometido realizó ochenta y tres solicitudes salientes hacia endpoints internos. Cuarenta y una fueron a servicios de autenticación. Veintisiete a bases de datos de configuración. Quince a APIs del sistema de gestión de planta.

El silencio en la llamada era denso. NeonMind lo rompió con voz plana.

Necesito saber qué vieron. Qué extrajeron. Y si dejaron algo atrás.

Contraataque

Stratos ejecutó la contención cloud con precisión atmosférica. El contenedor React comprometido fue aislado mediante Security Groups que bloquearon todo tráfico saliente excepto logs hacia CloudWatch. Las Lambda functions conectadas fueron rotadas con nuevas versiones desde imágenes limpias verificadas. Los tokens OAuth almacenados en variables de entorno fueron revocados y regenerados. La superficie SaaS fue auditada: cada webhook, cada integración de terceros, cada endpoint público que procesaba React Server Functions.

Tres aplicaciones adicionales en la organización utilizaban React Server Components con arquitecturas similares. Dos estaban desplegadas en Vercel, una en Google Cloud Run. Las tres fueron parcheadas y revalidadas. Implementé reglas WAF específicas para detectar payloads de deserialización anómalos en endpoints React. Monitoreo activo en patrones de salida de React Server Functions — cualquier desviación del esquema esperado genera alerta inmediata.

Eris validó la contención durante las siguientes 24 horas. Ningún tráfico anómalo. Ningún intento de reconexión desde la subred TOR identificada. Ningún patrón de lateralización activa.

Entorno limpio confirmado. Scattered Spider perdió acceso. Pero el vector sigue siendo válido en cualquier aplicación React que no haya parcheado CVE-2025-55182. La vulnerabilidad es arquitectónica — no es un bug aislado. Es cómo React Server Components manejan deserialización de payloads no confiables. Hasta que Meta libere un parche definitivo, cualquier endpoint público de React Server Function es una puerta abierta.

Resolución

Luna Varela cerró el expediente a las 09:14 del día siguiente. La crisis estaba contenida. El atacante, expulsado. Los sistemas, parcheados. Pero el puente — el puente entre aplicaciones web modernas y sistemas críticos industriales — ese puente seguía ahí, invisible en diagramas de arquitectura, ausente en matrices de riesgo, no documentado en procedimientos de respuesta.

CVE-2025-55182 no era solo una vulnerabilidad técnica. Era una señal de algo más profundo: la convergencia entre desarrollo web moderno y operaciones críticas había ocurrido sin que las estructuras defensivas evolucionaran al mismo ritmo. React Server Components — tecnología diseñada para mejorar experiencia de usuario — se había convertido en vector de ataque hacia SCADA, HMI, PLCs. El stack que servía dashboards también podía manipular setpoints.

Scattered Spider lo entendió antes que muchos CISOs. No atacaron el perímetro. Atacaron el puente. Y casi nadie lo vio venir.

— Luna Varela, Strategic Intelligence