漏洞利用详情攻击者正在积极利用React Native CLI Metro服务器中的高危漏洞CVE-2025-11953。该漏洞存在于React Native CLI的Metro开发服务器中该服务器默认绑定外部接口并暴露命令注入缺陷。未经认证的攻击者可发送POST请求执行任意程序在Windows系统上还能运行参数完全可控的shell命令。安全公告指出由React Native社区CLI启动的Metro开发服务器默认会绑定外部接口。该服务器暴露的端点存在操作系统命令注入漏洞使得未经认证的网络攻击者能够向服务器发送POST请求并运行任意可执行文件。在Windows系统上攻击者还能执行参数完全可控的任意shell命令。攻击活动分析Metro是React Native使用的JavaScript打包工具和开发服务器默认配置会暴露端点允许攻击者在Windows系统上执行操作系统命令。VulnCheck研究人员发现在漏洞被广泛披露前数周就已出现持续的实际攻击案例。该机构于2025年12月21日首次观测到CVE-2025-11953又称Metro4Shell的实际利用随后在2026年1月再次发现攻击活动表明攻击者持续利用该漏洞。尽管存在这些攻击该漏洞仍未引起广泛关注EPSS漏洞利用预测评分系统评分仅为0.00405。VulnCheck发布的公告强调在首次野外利用一个多月后这些攻击活动仍未获得广泛认知。这种已观测到的利用与普遍认知之间的差距值得警惕特别是对于易于利用且暴露在公共互联网上的漏洞。恶意软件技术细节VulnCheck确认CVE-2025-11953存在持续活跃的利用行为表明攻击者已将其投入实际攻击而非测试。攻击者通过cmd.exe投递多阶段Base64编码的PowerShell加载器禁用Microsoft Defender防护通过原始TCP获取有效载荷最终执行下载的二进制文件。该恶意软件为UPX压缩的Rust程序具备基础的反分析功能。专家指出攻击者连续数周重复使用相同的基础设施和技术手段。VulnCheck警告称缺乏公开认知可能导致防御者准备不足因为漏洞利用往往远早于官方确认时间。攻击网络基础设施以下是涉及的网络基础设施威胁指标观测角色65.109.182.231漏洞利用源223.6.249.141漏洞利用源134.209.69.155漏洞利用源8.218.43.248有效载荷托管Windows47.86.33.195有效载荷托管Windows/Linux报告总结道CVE-2025-11953的重要性不在于其存在本身而在于它再次印证了一个防御者需要不断重新认识的模式——可被访问的开发基础设施即刻就会成为生产基础设施无论其初衷如何。