React Server Componentsに存在する深刻な脆弱性により、認証されていない攻撃者が影響を受けるサーバー上で悪意あるコードを実行できる可能性があります。2026年10月14日に公開されたセキュリティアドバイザリは、この問題にCVSS v4.0スコア9.5を割り当てています。
Reactのメンテナーは、直ちにシステムを更新するよう呼びかけています。ただし、悪用に必要な条件は極めてまれだとも強調しています。
公式のセキュリティアドバイザリ（GHSA-xqc2-xf4c-x3h3）によると、React Server Componentsをサポートするフレームワークに細工したペイロードを送ると、リモートコード実行を引き起こせます。脆弱な状態になるのは、複数の型付き配列（typed array）と攻撃者が制御する値を併せて運ぶレスポンスがある場合です。アドバイザリは、詳細な悪用手順や根本的なコーディング上の誤りについては明らかにしていません。
Cybersecurity news
React Server Componentsの脆弱性
この脆弱性の影響を受けるのは、npmパッケージの react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack の3つです。脆弱なバージョンは、19.0.0〜19.0.8、19.1.0〜19.1.9、19.2.0〜19.2.8、および19.3.0です。メンテナーが示した依存関係の範囲は、Reactを使っているかどうかではなく、これらのパッケージのバージョンによって決まります。
CVSSの評価では、ネットワーク経由で攻撃が可能で、権限もユーザー操作も必要ないとされています。攻撃の複雑さは「低」ですが、ベクターには追加の攻撃要件が存在することが明示されています。この点は重要です。深刻度が「重大」であっても、影響を受けるパッケージを使うすべてのアプリケーションに、悪用可能な経路が自動的に存在するわけではないからです。
攻略に成功した場合、脆弱なシステムの機密性、完全性、可用性に深刻な影響が及ぶ可能性があります。評価ではさらに、後続システムに対する機密性と完全性への影響が高いとされていますが、後続システムの可用性への影響はないとされています。これらの評価はあくまで起こり得る影響を示したものです。アドバイザリは、攻撃者が本番環境でこうした結果をすでに引き起こしたとは確認していません。
以前報じられたReact2Shellのリモートコード実行はCVE-2025-55182に関するもので、React Server Componentsに存在する別の脆弱性でした。管理者は、その問題の識別子や影響バージョンの一覧、当時のパッチ手順を、今回のアドバイザリにそのまま当てはめてはいけません。現時点のGitHubのエントリには、既知のCVE識別子は記載されておらず、CWE分類も割り当てられていません。
メンテナーが示す修正済みバージョンは、影響を受ける3パッケージすべてで19.0.9、19.1.10、19.2.9、19.3.1です。組織は、脆弱な依存関係を直ちにアップグレードすべきです。デプロイ時の予防策として、ロックファイルや本番用の成果物で解決されたパッケージのバージョンを確認してください。そのうえでアプリケーションを再ビルドして再デプロイし、修正後のコードが稼働中のサーバーに確実に反映されるようにする必要があります。
今回の公表は、React Server Componentsのサービス拒否（DoS）脆弱性など、サーバーサイドのReactをめぐる他の問題に続くものです。ただし、以前の問題はリソース枯渇に関するもので、今回のアドバイザリが扱うコード実行の条件とは異なります。別々の公表を同じものとして扱うと、評価を誤るおそれがあります。特に、以前の修正済みリリースが、新しい脆弱性の影響範囲に含まれている場合は注意が必要です。
StudySecurity
クライアントのみで動作するReactアプリケーションは影響を受けません。React Server Componentsをサポートするフレームワーク、バンドラー、バンドラープラグインを使っていないアプリケーションも、対象範囲外です。
SOCにアラートの文脈を与え、インシデントを迅速に止めましょう。16,000のSOCの脅威インテリジェンスを統合。
翻訳元: https://gbhackers.com/critical-react-server-components-vulnerability/
