React Server Components で認証前のコード実行（ランサム利用あり）

Critical（CVSS 10.0）に分類されるMeta React Server Componentsの脆弱性です。React Server Components に認証前のリモートコード実行がある。Server Function のエンドポイントが HTTP リクエストのペイロードを安全でない方法でデシリアライズしているのが原因で、影響を受けるのは React の 19.0.0、19.1.0、19.1.1、19.2.0 と、react-server-dom-parcel / -turbopack / -webpack の各パッケージである。NVD の CPE には React 本体だけでなく Next.js も広く列挙されており、15.0 系から 15.5 系ではそれぞれ 15.0.5 / 15.1.9 / 15.2.6 / 15.3.6 / 15.4.8 / 15.5.7 未満、16.0 系では 16.0.7 未満が影響範囲で、14.3.0 と 15.6.0 の canary 系も含まれる。CVSS は CNA である Meta による 10.0 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。CISA KEV には 2025-12-05 に収載され、是正期限は 2025-12-12 と極端に短く、ランサムウェア利用も Known として明示されている。KEV の注記は緩和策の適用後にインターネットに面する全インスタンスで侵害の痕跡を確認するよう求めている。NVD の vulnStatus は Analyzed。

判定は依存の版を見る。package.json ではなくロックファイルで react、react-dom、そして react-server-dom-parcel / -turbopack / -webpack、および next の版を確認する。Next.js を使っている場合は自分のマイナー系列に対応する上限（CPE では 15.0.5、15.1.9、15.2.6、15.3.6、15.4.8、15.5.7、16.0.7）以上になっているかで判断し、canary を使っている環境は特に注意深く見る。KEV の注記に載っているベンダー提供の確認・修正支援リポジトリを使うと、該当判定と一括修正の手間が減る。見落としやすいのは、Server Function を意識して使っていないアプリでも該当パッケージが入っていること、Vercel 以外の自前ホスティング（コンテナ、Amplify、App Service など）に置いた古いビルド、そしてプレビュー環境やステージングである。ビルド済みの成果物を配っている場合はリポジトリを直しただけでは直らないので、再ビルドと再デプロイまでを一つの作業として扱う。緩和策は経路を閉じる方向しかなく、更新までの間は該当アプリを外部公開から外すか、Server Function のエンドポイントに未認証で到達できないよう手前で止める。KEV 是正期限 2025-12-12 は大幅に過ぎており、しかもランサムウェアキャンペーンでの利用が確認されているため、残っている環境は期限超過かつ実害の可能性ありとして扱う。完了条件は更新の完了ではない。KEV の注記どおり、インターネットに面していた全インスタンスで侵害の痕跡（不審なプロセス、永続化、外向き通信、想定外のファイル生成、サーバーレス関数のログ異常）を確認し、環境変数に置いていた資格情報、データベース接続情報、外部 API キー、セッション署名鍵をすべて再発行するところまで終えて初めて完了である。

Meta React Server Components を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-55182）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/12/12 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。