React Native の開発サーバーでコマンド実行（悪用確認済み）

Critical（CVSS 9.8）に分類されるReact Native Community React Native Community CLIの脆弱性です。React Native Community CLI が起動する Metro 開発サーバーが、既定で外部インターフェースに待ち受ける設定になっている。その上で公開されているエンドポイントに OS コマンドインジェクションがあり、未認証のネットワーク上の攻撃者が POST リクエストを送るだけで任意の実行ファイルを起動できる。Windows ではさらに引数まで完全に制御した任意のシェルコマンドを実行できると NVD の記述にある。影響範囲は CPE では 19.0.0 以上 19.1.2 未満、18.0.0、および 20.0.0 の alpha0 から alpha2 で、19.1.2 が修正版に相当する。修正は参照に登録されているコミットで取り込まれている。CVSS は CNA の JFrog による 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。参照には実環境での悪用を報告した第三者アドバイザリも含まれる。CISA KEV には 2026-02-05 に収載され、是正期限は 2026-02-26。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

本番サーバーではなく開発時に立つサーバーの問題なので、探す場所が普段の脆弱性対応とは違う。判定はまず npm ls @react-native-community/cli やロックファイルで版を確認し、18.0.0、19.0.0 以上 19.1.2 未満、20.0.0 の alpha 系なら該当と見る。次に、開発サーバーが実際に外部から到達できる状態で動いていないかを確認する。ss -ltnp や lsof -i -nP で Metro の待ち受けアドレスを見て、ループバックではなく全インターフェースに開いているものを洗う。見落としやすいのは、開発者のノート PC を社内 Wi-Fi や共用ネットワーク、カフェのような信頼できないネットワークに繋いだまま開発サーバーを起こしている状況と、クラウド上の開発用 VM やビルド用コンテナで Metro を起動しているジョブ、それに devcontainer やリモート開発環境でポートを外に転送している設定である。すぐ更新できない場合の緩和策は、待ち受けを外に出さないことである。開発サーバーを明示的にループバックへ束縛し、端末やインスタンスのファイアウォールで当該ポートへの外部からの到達を止め、必要なアクセスは SSH ポートフォワードやトンネル経由に置き換える。KEV 是正期限 2026-02-26 は既に過ぎているため、古い CLI のまま開発サーバーを外に出している環境が残っているなら期限超過として扱う。実際に悪用が確認されている点も踏まえ、完了条件は、CLI が 19.1.2 以降になっていることと開発サーバーが外部に露出していないことの確認に加えて、露出していた端末やビルドマシンで不審なプロセス・永続化・外部通信の痕跡を点検し、その端末に置いていた署名鍵やクラウド資格情報、npm トークンを再発行するところまでとする。

React Native Community React Native Community CLI を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-11953）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/26 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。