Meta React Server Components のリモートコード実行の脆弱性（CVE-2025-55182）

何が起きた

Meta の React Server Components で、サーバーが受け取ったデータを安全に読み戻さない弱点が見つかりました。Server Function という窓口に送られたデータの扱いに問題があり、攻撃者がサーバーで任意の（攻撃者が好きに選べる）プログラムを動かせるおそれがあります。この弱点は実際の攻撃に使われたことが確認されており、ランサムウェアでの悪用も知られています。ネットワーク経由で、ログイン不要の攻撃者が悪用できます。KEV では、取り下げられた CVE-2025-66478 もこの弱点に関係する番号とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

React Server Components を使ってサーバー側でも React を動かしている開発者や組織です。影響を受けるのは react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack の 19.0.0、19.1.0、19.1.1、19.2.0 です。React の公式ブログでは、サーバーを使わない React のアプリや、React Server Components に対応したフレームワークやバンドラーを使っていないアプリは影響を受けないとしています。一方で、Server Function を自分で作っていなくても、React Server Components に対応していれば影響を受けるおそれがあるとしています。

何をすればいい

修正版は 19.0.1、19.1.2、19.2.1 です。該当するパッケージを使っていれば、すぐにこれらのバージョン以降に更新されているか確認してください。React の公式ブログはその後に見つかった別の弱点に合わせて更新手順を改めており、使っているフレームワークごとの最新の修正版に更新するよう案内しています。ホスティング事業者の一時的な対策に頼らず必ず更新するよう呼びかけているので、React の公式の案内を確認してください。

やることチェックリスト

• react-server-dom で始まるパッケージの版を確かめる
• 19.0.1、19.1.2、19.2.1 以降に更新する
• 使っているフレームワークも最新の修正版に更新する

用語メモ

React Server Components

Web アプリを作る道具 React の仕組みの一つで、画面の一部をサーバー側で作って送る機能です。

Server Function

ブラウザ側からサーバーにある関数を呼び出せる、React の仕組みです。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。

バンドラー

たくさんのプログラムのファイルをまとめて、Web で使える形にする道具です。