Metro4Shell: la vulnerabilità critica che colpisce React Native

Negli ultimi mesi, una vulnerabilità critica chiamata Metro4Shell ha attirato l’attenzione degli esperti di sicurezza informatica per il suo impatto sui sistemi di sviluppo basati su React Native.

La falla, identificata come CVE-2025-11953, permette a malintenzionati di eseguire codice malevolo su macchine Windows, Linux e macOS.

Cos’è Metro e perché è a rischio

Metro è il bundler JavaScript predefinito per progetti React Native. Il problema nasce dal fatto che Metro può esporre endpoint HTTP destinati all’uso locale anche su interfacce di rete esterne. Questo ha permesso agli attaccanti di sfruttare endpoint progettati solo per la fase di sviluppo.

In particolare, l’endpoint /open-url accetta richieste POST contenenti URL personalizzati che vengono passati alla funzione open() senza alcuna sanificazione. Questo comportamento consente l’esecuzione arbitraria di comandi su Windows e l’avvio di file eseguibili con controllo limitato dei parametri su Linux e macOS.

Scoperta e diffusione della vulnerabilità

La vulnerabilità è stata rilevata a novembre 2025 dai ricercatori della JFrog. Essa interessa le versioni di @react-native-community/cli-server-api dalla 4.8.0 fino alla 20.0.0-alpha.2. Subito dopo la divulgazione pubblica, sono comparsi diversi proof-of-concept exploit che dimostrano la facilità con cui la falla può essere sfruttata.

I primi attacchi reali sono stati individuati il 21 dicembre 2025 dalla società VulnCheck, che ha confermato ulteriori episodi il 4 e il 21 gennaio 2026. In tutti i casi, gli aggressori hanno trasmesso payload codificati in base64 nei POST HTTP, principalmente script PowerShell.

Modalità di attacco e impatto

Una volta decodificato e avviato, il payload compie diverse operazioni: disattiva le protezioni aggiungendo eccezioni in Microsoft Defender, apre connessioni TCP verso server di controllo, scarica file eseguibili temporanei e li avvia con parametri forniti dagli aggressori. I binari Windows, pacchettizzati con UPX e scritti in Rust, mostrano logiche di anti-analisi, mentre versioni simili per Linux confermano la natura cross-platform degli attacchi.

Secondo ZoomEye, oggi sono disponibili online circa 3.500 server Metro React Native esposti. Gli esperti di VulnCheck sottolineano che CVE-2025-11953 evidenzia come le infrastrutture di sviluppo possano diventare vulnerabili come ambienti di produzione quando accessibili dall’esterno.

Il consiglio principale per gli sviluppatori è aggiornare immediatamente le versioni di Metro interessate e limitare l’esposizione degli endpoint locali a reti fidate.

Questa vicenda dimostra come la sicurezza negli ambienti di sviluppo non sia più un aspetto secondario, ma una priorità fondamentale per prevenire intrusioni gravi e compromettere dati sensibili. La ricerca è stata condotta da VulnCheck.

La lezione è chiara: ogni strumento di sviluppo può diventare un vettore di attacco se non viene gestito con criteri di sicurezza rigorosi e aggiornamenti tempestivi.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.