Serwer deweloperski Metro w React Native Community CLI pozwala przez sieć uruchomić dowolne programy na komputerze programisty. Ataki potwierdzone. Zaktualizuj pakiet do 20.0.0 lub 19.1.2.
Ten alert jest dla zarządu, CTO i CFO firm, które tworzą aplikacje mobilne w React Native, samodzielnie lub przez zewnętrzny software house. Werdykt: jeśli programiści używają narzędzia React Native Community CLI z pakietem serwera w wersji starszej niż 20.0.0 (lub 19.1.2 w gałęzi 19), zaktualizuj projekty dziś, bo luka pozwala przejąć komputer programisty przez sieć i jest wykorzystywana w atakach.
Amerykańska agencja CISA 5 lutego 2026 roku dopisała podatność CVE-2025-11953 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy serwera deweloperskiego Metro, uruchamianego przez React Native Community CLI podczas pisania aplikacji. Serwer domyślnie nasłuchuje na całą sieć, a jeden z jego punktów końcowych pozwala wstrzyknąć polecenie systemu operacyjnego. Napastnik bez konta i bez udziału użytkownika uruchamia na komputerze programisty dowolne programy, a na Windows także dowolne polecenia powłoki.
Firma VulnCheck zaobserwowała ataki już 21 grudnia 2025 roku, a kolejne 4 i 21 stycznia 2026 roku. Termin naprawy wg CISA minął 26 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-11953 |
Data dodania do CISA KEV | 2026-02-05 |
Termin naprawy wg CISA | 2026-02-26 (21 dni od wpisu) |
Produkt | React Native Community CLI, pakiet serwera deweloperskiego Metro (@react-native-community/cli-server-api); biblioteka otwartoźródłowa używana w wielu projektach |
Wersje zagrożone | Pakiet serwera od 4.8.0 do wersji poniżej 20.0.0 (w gałęzi 19 przed 19.1.2). Podatność działa, gdy serwer Metro jest uruchomiony i osiągalny przez sieć (domyślnie nasłuchuje na interfejsach zewnętrznych) |
Wersje bezpieczne | 20.0.0 lub nowsza; w gałęzi 19: 19.1.2 lub nowsza |
Typ podatności | Wstrzyknięcie polecenia systemu operacyjnego (OS command injection); CWE-78 |
Ocena CVSS | JFrog (instytucja rejestrująca): 9.8 KRYTYCZNA (CVSS 3.1). Atak przez sieć, bez uprawnień, bez udziału użytkownika. NVD nie wystawiła własnej oceny |
Wyobraź sobie rusztowanie przy budowanym biurowcu. Stoi tylko w czasie prac, nie wchodzi do gotowego budynku i nikt nie wpisuje go do inwentarza. Ale dopóki stoi, można po nim wejść przez otwarte okno na trzecim piętrze, do pokoju, w którym leżą plany i klucze do całego budynku.
Serwer Metro jest takim rusztowaniem. Programista uruchamia go, żeby zmiany w kodzie od razu pojawiały się na telefonie testowym. Serwer domyślnie przyjmuje połączenia od wszystkich urządzeń w tej samej sieci, a jeden z jego punktów pozwala przemycić polecenie systemowe. Kto jest w tej samej sieci (coworking, kawiarnia, sieć dla gości w biurze) lub dosięgnie serwera z internetu, może uruchomić dowolny program na laptopie programisty. Na tym laptopie leży kod aplikacji, klucze do jej podpisywania i dostępy do serwerów.
💡 React Native to technologia tworzenia aplikacji mobilnych na iOS i Androida. CLI to narzędzie uruchamiane z wiersza poleceń. Metro to serwer deweloperski, który na bieżąco przesyła kod na telefon testowy. Wstrzyknięcie polecenia oznacza przemycenie komendy systemowej w danych wysyłanych do programu. Nasłuchiwanie na interfejsach zewnętrznych znaczy, że serwer jest widoczny dla innych urządzeń w sieci, a nie tylko dla tego komputera.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Programista pracuje w coworkingu | Kod i klucze są tylko na jego laptopie | Każdy w tej samej sieci może uruchomić program na laptopie |
Serwer Metro włączony podczas przerwy na kawę | Czeka na zmiany w kodzie | Przyjmuje polecenia od obcych |
Komputer z Windows | Polecenia uruchamia tylko użytkownik | Napastnik wykonuje dowolne polecenia powłoki |
Klucze do podpisywania aplikacji | Bezpieczne na komputerze programisty | Do skradzenia, można podpisać fałszywe wydanie |
Gotowa aplikacja w sklepie | Zawiera tylko kod zespołu | Może zawierać kod dopisany przez napastnika |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. VulnCheck opisał rzeczywiste ataki na serwery Metro wystawione do internetu: na komputery z Windows dostarczano wieloetapowe programy ładujące w PowerShell, spójnie przez kilka tygodni, co wskazuje na działanie operacyjne, a nie testy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu lub sieci lokalnej w poszukiwaniu działających serwerów Metro | Lista komputerów programistów |
2. Wykorzystanie | T+sekundy | Jedno żądanie POST do podatnego punktu serwera z przemyconym poleceniem | Program napastnika uruchomiony na laptopie |
3. Instalacja | T+kilka minut | Pobranie programu ładującego i narzędzia zdalnego dostępu (na Windows przez PowerShell) | Stały dostęp do komputera |
4. Kradzież | T+1 godzina | Kopiowanie kodu źródłowego, kluczy podpisujących, haseł do repozytoriów i serwerów | Dostęp do zasobów firmy i klienta |
5. Rozszerzenie | T+1 do 7 dni | Logowanie do repozytoriów, systemów CI/CD, serwerów testowych i produkcyjnych | Kontrola nad procesem wydawania aplikacji |
6. Uderzenie | T+tygodnie | Dopisanie złośliwego kodu do aplikacji lub wyciek danych z serwerów | Zainfekowana aplikacja u klientów firmy |
Narzędzia programistów rzadko trafiają do spisu systemów firmy, bo działają tylko w trakcie pracy. Tymczasem komputer programisty to klucze do aplikacji, którą firma wydaje klientom. Szkoda liczy się w wycofanym wydaniu, przeglądzie kodu i wymianie kluczy, a nie w cenie laptopa.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wstrzymanie wydań, przegląd całego kodu, wymiana kluczy i haseł | Dni do tygodni | 30 tys. do 200 tys. PLN (praca zespołu, audyt kodu) |
Bezpieczeństwo danych | Kradzież kodu źródłowego, kluczy podpisujących, dostępów do serwerów | Minuty od ataku | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Wycofanie aplikacji, kary umowne wobec zleceniodawcy, szkody u klientów | Tygodnie | 50 tys. do 1 mln PLN, zależnie od skali aplikacji |
Reputacyjny | Zainfekowana aplikacja w sklepie, utrata zaufania użytkowników | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z zamawiającym | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy tworzącej aplikacje React Native
bez aktualizacji CLI
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (ataki potwierdzone, publiczne exploity, EPSS około 94%), a wpływ wysoki, bo przejęty komputer programisty otwiera drogę do kodu i wydań aplikacji; ryzyko dotyczy jednak tylko czasu, gdy serwer Metro działa i jest osiągalny z sieci.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, które projekty używają React Native i jaka wersja pakietu serwera CLI jest w każdym z nich | Dziś | Lider zespołu / software house |
2 | 🔴 NATYCHMIAST | Podnieść pakiet do 20.0.0 lub nowszego (w gałęzi 19: 19.1.2) i przebudować projekty | Dziś lub jutro | Programiści |
3 | 🔴 NATYCHMIAST | Do czasu aktualizacji uruchamiać Metro tylko z nasłuchem na komputerze lokalnym i nie pracować w otwartych sieciach | Dziś | Programiści |
4 | 🟠 PILNIE | Sprawdzić, czy żaden serwer Metro nie jest dostępny z internetu (maszyny testowe, serwery budujące) | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Sprawdzić komputery programistów pod kątem nieznanych procesów PowerShell i narzędzi zdalnego dostępu od grudnia 2025 roku | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Jeśli są wątpliwości: wymienić klucze podpisujące, tokeny repozytoriów i hasła do serwerów | Do 7 dni | Lider zespołu |
7 | 🟡 WAŻNIE | Oddzielić sieć dla gości od sieci roboczej w biurze | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Wpisać do umowy z wykonawcą obowiązek raportowania podatnych bibliotek i terminów ich aktualizacji | Do 30 dni | CFO / dział zakupów |
Poprawka została wydana i sprowadza się do jednej zmiany w repozytorium projektu, więc aktualizacja jest właściwym rozwiązaniem. Gdy projekt nie może od razu przejść na nowszą wersję, poniższe miary ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Uruchamianie Metro z nasłuchem tylko na komputerze lokalnym (localhost) | Wysoka wobec ataków z sieci | Łatwa, ale podgląd na fizycznym telefonie wymaga np. przekierowania przez kabel USB |
Zapora systemowa blokująca port serwera Metro dla innych urządzeń | Wysoka | Łatwa do średniej |
Zakaz pracy z włączonym Metro w otwartych sieciach (kawiarnie, coworking) bez VPN | Średnia: zależy od dyscypliny zespołu | Łatwa organizacyjnie |
Wyłączanie serwera Metro po zakończeniu pracy | Średnia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja pakietu serwera CLI | Poniżej 20.0.0 | 20.0.0 lub nowsza (19.1.2 w gałęzi 19) |
Widoczność serwera Metro | Cała sieć, czasem internet | Tylko komputer programisty |
Praca w sieciach publicznych | Bez ograniczeń | Z VPN i zaporą |
Wiedza o bibliotekach w aplikacji | Tylko u wykonawcy, nieraportowana | Regularny raport w ramach umowy |
Status wobec terminu CISA | Zaległość od 26 lutego 2026 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); VulnCheck zaobserwował ataki 21 grudnia 2025 roku oraz 4 i 21 stycznia 2026 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg JFrog (CVSS 3.1) |
PoC dostępny publicznie? | TAK: wg VulnCheck po analizie JFrog pojawiło się kilka publicznych exploitów na GitHubie |
Liczba atakowanych firm | Brak publicznych informacji; VulnCheck wskazuje, że serwery Metro bywają wystawione do internetu |
Kto wykrył błąd | Badacze JFrog |
Prognoza EPSS | Około 62% na początku sierpnia 2026 roku, a po 10 dniach blisko 94% (wg analizy źródłowej); na początku lutego 2026 roku VulnCheck odnotował jeszcze 0,00405 |
Żadna publiczna baza nie powie, czy Twoja aplikacja jest podatna: to biblioteka dołączana do tysięcy projektów, bez spisu odbiorców. Odpowiedź ma tylko zespół lub firma, która aplikację napisała.
Sygnały zagrożenia dla CVE-2025-11953
CVSS 3.1 (JFrog) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (sierpień 2026) ~94% ███████████████████░ BARDZO WYSOKA
Publiczne exploity TAK ████████████████████ kilka na GitHubie
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-11-03 Publikacja CVE-2025-11953 (NVD), analiza JFrog
2025-12-21 VulnCheck obserwuje pierwsze ataki na serwery Metro
2026-01-04 Kolejne ataki z tymi samymi ładunkami
2026-01-21 Kolejne ataki z tymi samymi ładunkami
2026-02-03 VulnCheck publikuje raport o atakach
2026-02-05 CISA dodaje lukę do katalogu KEV
2026-02-26 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08 EPSS rośnie z około 62% do blisko 94%
2026-09-17: TUTAJ JESTEŚMY Poprawka w repozytorium projektu: github.com/react-native-community/cli, commit 1508990 oraz pull request 2735 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-11953 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma ma aplikacje w React Native (własne lub zlecone) | CTO | DZISIAJ |
2 | Wysłać wykonawcy pytanie o wersję pakietu serwera CLI we wszystkich projektach | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację i ewentualne przesunięcie najbliższego wydania | CTO | DZISIAJ |
4 | Poprosić o potwierdzenie, że żaden serwer Metro nie jest dostępny z internetu | CTO | DO JUTRA |
5 | Zarezerwować budżet na przegląd komputerów programistów, jeśli potwierdzenie budzi wątpliwości | CFO | DO JUTRA |
6 | Przygotować aneks do umowy o raportowaniu podatnych bibliotek | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie lub u wykonawcy powstają aplikacje w React Native? | TAK / NIE | 🔴 |
2 | Jaka wersja pakietu serwera React Native Community CLI jest w każdym projekcie? | [wersja] | 🔴 |
3 | Kiedy projekty zaktualizowano do 20.0.0 lub 19.1.2? | [data] | 🔴 |
4 | Czy serwer Metro jest gdziekolwiek dostępny z internetu? | TAK / NIE | 🔴 |
5 | Czy programiści pracują na Windows i w sieciach publicznych? | TAK / NIE | 🟠 |
6 | Czy sprawdzono komputery programistów pod kątem śladów ataku od grudnia 2025 roku? | TAK / NIE, [data] | 🟠 |
7 | Czy sieć dla gości jest oddzielona od sieci roboczej? | TAK / NIE | 🟡 |
CVE-2025-11953 w serwerze Metro narzędzia React Native Community CLI pozwala każdemu, kto dosięgnie go przez sieć, uruchomić programy na komputerze programisty, a z niego dostać się do kodu i wydań aplikacji. CISA i VulnCheck potwierdzają ataki, istnieją publiczne exploity, a naprawa to aktualizacja jednej biblioteki, więc pytanie do zespołu lub wykonawcy trzeba zadać dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.