React Server Componentsに深刻な欠陥が見つかりました。特定のアプリケーション条件下で、認証されていない攻撃者が影響を受けるサーバー上で悪意あるコードを実行できる可能性があります。
GHSA-xqc2-xf4c-x3h3として追跡されているこのアドバイザリーは、React Server Componentsをサポートするフレームワークを標的とした細工済みペイロードについて説明しています。悪用には、複数の型付き配列（typed array）と攻撃者が制御する値が絡む、極めてまれなレスポンスパターンが必要です。
この問題は一部のNext.jsのデプロイメントにも影響します。複数の型付き配列を返すCache Componentsが使われている場合、認証なしでサーバーサイドのコード実行にさらされる恐れがあります。
影響を受けるパッケージは、react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopackです。危険な状態になるのは、レスポンスが複数の型付き配列と攻撃者の制御するデータを同時に運ぶ場合です。
この条件があるため、影響を受けるのはすべてのReactアプリケーションではなく、特定の処理経路に限られます。以前報告されたReact Server Componentsのサービス拒否（DoS）攻撃は、細工したリクエストでサーバーを停止させるものでした。今回の開示は、アプリケーションの可用性を妨げるだけでなく、影響を受けたサーバー自体が侵害されかねない「実行」に関するものです。
アドバイザリーは、この問題を「Critical（緊急）」に分類しています。ネットワーク経由で悪用可能で、攻撃の複雑さは低く、必要な権限もユーザー操作も不要です。
ただしCVSS v4のベクターでは、攻撃要件（Attack Requirements）が「あり」と明示されています。これは、アプリケーション側に必要な条件があることを反映したものです。悪用に成功すると、脆弱なシステムの機密性、完全性、可用性のいずれにも高い影響が及びます。
結果としては、過去のReact4Shellのリモートコード実行事案に似ています。しかし管理者は、このアドバイザリーをCVE-2025-55182と混同したり、同じ悪用の仕組みが当てはまると決めつけたりしないよう注意が必要です。
3つのパッケージは、影響を受けるバージョンの範囲が共通です。19.0.0〜19.0.8、19.1.0〜19.1.9、19.2.0〜19.2.8、および19.3.0が該当します。アドバイザリーによると、修正版は19.0.9、19.1.10、19.2.9、19.3.1です。
本文中には「19.0.09」という記載もありますが、構造化された修正バージョンの項目では19.0.9とされています。各チームは、自分たちが保守しているブランチに合った修正版を選んでください。あわせて、フレームワークやバンドラー経由で間接的に取り込まれる依存関係も含め、実際に本番環境へ届くパッケージのバージョンを確認する必要があります。
影響の有無は、デプロイメントの構成によって変わります。Reactによると、ReactコードがサーバーでReactを使用していないアプリケーションは影響を受けません。
React Server Componentsに対応したフレームワーク、バンドラー、バンドラープラグインを使っていないアプリケーションも、対象外です。一方で、該当するレスポンスパターンはないはずだと考えるだけで、この問題を軽視するのは避けるべきです。
対処としては、解決済みの依存関係のバージョンを確認し、影響を受けるアプリケーションを再ビルドします。そのうえで、デプロイ済みのインスタンスが古い成果物ではなく、修正済みのパッケージを含んでいることを確かめてください。
開示では発見者としてevolutionstormの名前が挙げられていますが、既知のCVE識別子も、割り当て済みのCWE分類も記載されていません。実際に悪用されているかどうかは確認されておらず、攻撃チェーンの公開や、侵害の痕跡（IoC）の提示もありません。
そのため防御側は、確認されている実行リスクと設定上の前提条件を、次の推測とは切り分けて考える必要があります。広範囲に及ぶ攻撃、特定のペイロード構造、根本にあるデシリアライズの仕組みは、いずれも現時点では確認されていません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/exploit-react-server-components-flaw/
