El fin de las infecciones en la web: Barracuda WAF elimina vulnerabilidades críticas de React y Next.js

Mitigación de amenazas críticas de React y ejecución remota de código (RCE) Next.js con Barracuda Application Protection.

Estatus de la Amenaza

• Dos vulnerabilidades recientes de RCE (Ejecución Remota de Código) permiten la explotación no autenticada en ciertas aplicaciones internas o dirigidas al cliente.
• Los clientes que ejecuten React Server Components (19.0.0–19.2.0 o versiones específicas de Next.js deben actualizarse inmediatamente y revisar las directrices de Barracuda Campus.
• Barracuda Application Protection proporciona una defensa proactiva mediante detección basada en firmas, análisis conductual e inteligencia de amenazas impulsada por IA, sin necesidad de intervención manual.
• BarracudaONE ofrece visibilidad centralizada y defensas en capas en la seguridad del correo electrónico, la red y las aplicaciones, garantizando resiliencia frente a amenazas en evolución.

Dos vulnerabilidades críticas de ejecución remota de código (RCE) recién reveladas (CVE-2025-55182 / CVE-2025-66478) suponen una amenaza seria para las aplicaciones basadas en React y Next.js. Estos fallos permiten a los atacantes ejecutar código arbitrario en sistemas vulnerables, lo que puede llevar a compromisos de aplicaciones, accesos no autorizados y posible pérdida de datos.

La Importancia de Identificarlas

La explotación no requiere autenticación, lo que ofrece a los atacantes una vía rápida para tomar el control de aplicaciones, robar datos sensibles o interrumpir servicios críticos. Con React y Next.js impulsando innumerables aplicaciones internas y orientadas al cliente, la superficie de ataque es considerable y el riesgo es inmediato. Las organizaciones sin protecciones sólidas se encuentran muy expuestas.

Recomendaciones para la Protección Correcta de las Aplicaciones

Como parte de Barracuda Application Protection, Barracuda Web Application Firewall (WAF) y Barracuda WAF-as-a-Service proporcionan protección automática contra ataques de ejecución remota de código como los que presentan estas vulnerabilidades.

Las actualizaciones de seguridad se publican regularmente para todos los clientes que ejecutan las versiones 12.1, 12.2 y GA, apoyadas por la inteligencia de amenazas basada en la nube de Barracuda, que ofrece defensa en tiempo real mediante actualizaciones de firmas y detección activa.

Aconsejamos a todos los clientes revisar su inventario de aplicaciones para identificar cualquier uso de React o Next.js con los componentes del servidor React, y actualizar a las últimas versiones de React (19.2.1) y Next.js (16.0.7, 15.5.7 y 15.4.8).

Para entornos que no usan las versiones vulnerables de React o Next.js, no es necesario hacer nada más en este momento.

Qué Podemos Ofrecerte con Barracuda WAF

• Puntos de Guardados Automáticos: Bloquea instantáneamente cargas útiles maliciosas diseñadas para explotar vulnerabilidades de React y Next.js.
• Defensas en Capas: Combina la detección basada en firmas, análisis conductual e inteligencia de amenazas impulsadas por IA para detener intentos de RCE.
• Actualizaciones Continuas: Actualizaciones de firmas en tiempo real a través de la red global de inteligencia de amenazas de Barracuda.