React Server Componentsの脆弱性 CVE-2025-55182（React2Shell）についてまとめてみた。 - piyolog

2025年12月3日、JavaScriptライブラリ Reactを開発するThe React Teamは、React Server Componentsに深刻な脆弱性が確認されたとして脆弱性情報を公開し、修正版への更新を案内しました。ここでは関連する情報をまとめます。 どんな脆弱性が確認されたの？ React Server Function のFlightプロトコルにおいて、信頼できないデータのデシリアライズに関する脆弱性 が確認された。この脆弱性は認証不要でリモートから悪用が可能であり、リモートコード実行（RCE） に至る恐れがある。深刻度は 緊急（CVSS 基本値 10.0） と評価されており、開発元は利用者に対して速やかな対応を呼びかけている。 React はエンタープライズ環境を含む幅広いシステムで採用されており、日本国内でも React を用いたシステムを公開しているホストが多数

[usurausura]

脆弱性を悪用され侵入された事例の報告(12/3-12/5にかけて)id:entry:4780227289806610017 (12/6)id:entry:4780249984426665953

[tedd707]

React Server Componentsの重大脆弱性CVE-2025-55182（React2Shell）を整理。認証不要RCE（CVSS 10.0）で、既に悪用・CISA KEV登録もあり、速やかな更新と侵害有無の確認を促しています。

[YassLab]

“明示的にReact Server Function を使用（実装）しているかにかかわらず影響を受ける ... デフォルトの設定で構築された環境（create-next-appで作成され本番用にビルドされた標準的な Next.jsアプリケーション等）が影響を受ける”

[takezaki]

“システム上でReact Server Components をサポートしていることが条件であって、明示的にReact Server Function を使用（実装）しているかにかかわらず影響を受ける”

[tmatsuu]

まとめありがたい。「明示的にReact Server Function を使用（実装）しているかにかかわらず影響を受ける」ここ強調

[teppeis]

デシリアライズの穴を突いたRCEは古来より繰り返されてきたものですね

[IGA-OS]

Webサービスの総点検