La aparición de React2Shell, una ejecución remota crítica en entornos basados en React y frameworks como Next.js, dejó a muchos equipos preguntándose por qué sus alertas no saltaron a tiempo. En organizaciones que utilizan Wazuh como SIEM, el motivo habitual no es una falla del producto, sino una falta de visibilidad en el lugar correcto: el nivel aplicación donde residen las dependencias reales que ejecuta el código.
La mayoría de motores de vulnerabilidades integrados en SIEMs inspeccionan el inventario del sistema operativo y los paquetes instalados de forma global. Sin embargo, los desarrollos modernos concentran librerías dentro del propio proyecto, en entornos virtuales y en capas de contenedores. Si el agente no inspecciona esos directorios locales ni analiza los manifiestos de dependencias, la superficie real del riesgo queda fuera del radar y un RCE como React2Shell puede pasar desapercibido pese a contar con telemetría del host.
Wazuh ofrece detección de cambios en archivos, correlación de eventos y comprobación de vulnerabilidades del sistema, pero no inventaría por sí mismo los paquetes ubicados en node_modules, venv o imágenes de contenedor. Además, registrar modificaciones en archivos no equivale a conocer nombre y versión de cada librería. Y delegar escaneos frecuentes al gestor central mediante ejecución remota de comandos incrementa el riesgo operativo, algo poco recomendable en una práctica de ciberseguridad madura.
La respuesta pasa por un enfoque de inventario orientado a aplicaciones. En la práctica, consiste en descubrir de forma programática manifiestos como package.json o lockfiles, extraer versiones de componentes críticos, etiquetar el contexto de origen host o contenedor y enviar esa información como eventos estructurados al SIEM. Con esa base, se crean reglas específicas que correlacionan versiones vulnerables y rutas de despliegue, transformando un punto ciego en alertas de alto valor listas para accionar.
Para que sea seguro y escalable, conviene programar la recolección desde cada servidor con tareas planificadas de bajo privilegio, distribuir el proceso con herramientas de orquestación como Ansible y evitar que el gestor del SIEM ejecute scripts arbitrarios. Es clave controlar el impacto en rendimiento, excluir rutas del sistema operacional que no aportan y mantener incluido el almacenamiento de contenedores cuando se usan plataformas de virtualización.
Completar la estrategia con un SBOM por aplicación, escaneo continuo en CI CD, análisis de imágenes antes de publicar y correlación de resultados en Wazuh cierra el ciclo de prevención. La integración con escáneres de contenedores y la observabilidad a nivel de tiempo de ejecución aporta contexto de explotación, mientras que la normalización a formatos estándar facilita su consumo por analistas y automatizaciones.
En Q2BSTUDIO ayudamos a desplegar esta capa de visibilidad para compañías que desarrollan aplicaciones a medida y software a medida, uniendo el mundo del desarrollo con la operación de seguridad. Implementamos pipelines de inventario y detección, reforzamos arquitecturas en servicios cloud aws y azure y combinamos ia para empresas con agentes IA que asisten al equipo de seguridad en triage y respuesta. Además, conectamos los hallazgos con servicios inteligencia de negocio para construir paneles con power bi que muestran riesgo por aplicación, entorno y versión. Si buscas una estrategia integral, conoce nuestra práctica de ciberseguridad.
La lección de React2Shell es clara: sin una visibilidad centrada en el software que realmente se ejecuta, cualquier SIEM verá solo una fracción del riesgo. Wazuh se convierte en un aliado decisivo cuando recibe la señal correcta desde el nivel aplicación. Diseñar ese flujo de datos y gobernarlo es tan importante como parchear, y marca la diferencia entre enterarse por una noticia o por una alerta accionable.
