React Server Componentsは昨年、どのカンファレンスでも話題の的だった。滑らかなサーバーサイド・レンダリング、設定不要のhydration——2025年までスムーズにスケールするはずだった。だが、ここで衝撃だ。12月3日、Reactチームが爆弾を投下。CVE-2025-55182。認証不要の遠隔コード実行。CVSS 10.0。満点。サーバー完全乗っ取りの可能性あり。
これはエッジケースのバッファオーバーフローじゃない。攻撃者がReact Server Functionエンドポイントに悪質HTTPリクエストをぶち込むだけ。ドカン——デシリアライズ欠陥でサーバー上で任意コードが走る。Server Functionを直接使っていなくてもだ。React Server Componentsを有効にしただけ？ 脆弱だ。
React Server Componentsに認証不要の遠隔コード実行脆弱性がある。即時アップグレードを推奨する。
Reactチームのアドバイザリからの直球。遠慮なし。
バージョン19.0から19.2.0が対象。19.0.1、19.1.2、19.2.1で修正。npmアップデートで済む。だが波及効果はデカい。Next.jsは13.3.xから16.xカナリーまで——具体的なパッチ一覧あり。React Routerのunstable RSC API。Waku、Parcel RSC、Viteプラグイン、RWSDK。ホスティングプロバイダは臨時対策を張った（これに全賭けは無謀だ）。
Next.jsアプリは影響受ける？
Next.jsはReactデプロイの4割超を握る——最近の調査通りだ。13.3以降ならnpm install [email protected]で13/14系対応。15.x？ 15.0.8〜15.5.10に固定。カナリー？ ステーブルにダウングレード。コマンドは山ほどあるが、一つ見逃せば終わりだ。
見ての通り。React Server Components（RSC）はVercelの目玉——クライアント肥大化なしのフルスタックReactだ。React 19以降、採用急増。だがこの脆弱性は未熟さを物語る。デシリアライズ攻撃？ 10年前のJavaのysoserialペイロードを思い浮かべろ。ReactのHTTP-to-function変換層？ 丸裸だ。
しかも——ここが俺の独自視点——Log4Shellの2021年大混乱を彷彿とさせる。あのJavaロギングライブラリが一夜でJVM界を支配した。ReactのサーバーDOMパーサー（webpack、turbopack）も同じ：オプトインのサーバー機能がみんなのフレームワークに埋め込まれる。結果、静かな感染。React Nativeのモノレポ？ server-domパッケージだけ更新しろ。だが大半はスルーだ。
フレームワーク各社は大慌て。Next.jsブログは変更ログで埋まる。Expo、Redwood、Waku——軒並みパッチ。モノレポのReact Nativeユーザー？ ミスマッチ避けの選択的アップグレード。カオスだが——今のところ封じ込め。
市場は一瞬で変わる。RSCブームでNext.jsはVercelの時価総額20億ドル超の噂すらあった。この一件で勢い止まる。RemixやSolidスタートアップ（ダジャレだ）を狙うチームは二の足を踏む。クライアントhydrationで十分なのにRCEリスク取るか？ 2026年Q1調査でRSC有効化率10-15%減を予想。
このパッチを放置できない理由
CVSS 10.0は大げさじゃない。攻撃複雑度：低。特権：なし。スコープ：変更（クライアントからサーバー直撃）。機密性・完全性・可用性全部破壊。公開エンドポイント？ 即ゲームオーバー。Next.jsのEコマースサイト？ 決済フロー乗っ取り。SaaSダッシュボード？ データ持ち出し放題。
Reactチームはパッチ後に詳細公開の予定を明らかにした。賢い。だがPRはエコシステムの爆風を軽視。「サーバーなしなら安全」。確かに。だが本番で純粋クライアントReact運用してる奴は？ ViteやParcelみたいなバンドラーはRSCフック埋め込み。ピア依存で脆弱React引きずり込む。
アップグレード経路はバラバラ。Next.js 14.3.0カナリー？ 14ステーブルに巻き戻し。React Router？ npm install react@latest react-server-dom-webpack@latest。Waku？ 全部最新に。Redwoodドキュメントで移行ガイドあり。可能だ。だがyarnワークスペースやpnpmストアの世界じゃ人的ミスが付きまとう。
本質はこれだ——RSCの魅力（共存コンポーネント、ストリーミングペイロード）は速度と引き換えにセキュリティを犠牲にする。JSのeval並みの柔軟性がデシリアライズのリスクを増幅。大胆予測：MetaのReact Forget時代もこれを忘れん。Next 17で厳格監査かオプトアウトゲート登場か。
Vercel、Netlify、Cloudflareの巨頭はエッジパッチ。良い隣人だ。だが言わずとも、緩和策に頼るな。一つの未パッチVercelデプロイで攻撃者は嗅ぎ回る。
開発者よ、package.json確認しろ。npm ls react-server-dom-webpackか同等を実行。出力なし？ セーフかも。だがフレームワークが隠す。lockfileを監査。
これでJSサーバーの本質が露呈だ。Nodeのイベントループがサーバーサイドに誘った。今RSCでコンポーネントツリー丸ごとHTTP経由シリアライズ。攻撃者にはご馳走。歴史的類似：Nodeの2014年プロトタイプ汚染波。速攻パッチったが信頼に傷。Reactの番だ。
Vercel株（上場なら）は見出しで下落。OSS疲労が募る——「自分の」ライブラリのゼロデイまたか。だが称賛すべき：開示迅速、パッチ即配備。11月29日のLachlan Davidsonレポート？ 英雄的。
現実世界のリスクはどれほど？
簡単な獲物から。認証なし公開RSCエンドポイント？ 朝飯前。Burpかcurlでペイロード作ってデシリアライズ。シェルゲット。だが大半のアプリは関数をゲートしてる。それでも——ポート3000はリコンスキャンされまくる。
数字：Next.jsはBuiltWithで200万超サイト駆動。20%がRSC実験？ 40万ベクターだ。パッチ拡散？ npmは速いがCI/CDは遅い。第1週露出：高め。
企業ハイプ検証：Reactチームのアドバイザリは簡潔——パニックスイッチに最適。無駄なし。だが「Server Functionなしでも」行？ 埋もれたリード。影響広げる。
長期戦ではRSC成熟を加速。もしくは殺す。パッチ後npmトレンドで採用指標監視。俺の予想：停滞後、監査付きで急回復。
🧬 関連インサイト
- 詳細： Why Your Database Screams in Production While Tests Sleep: The Hidden Cost of Scale Blindness
- 詳細： Cargo’s Build Dir Shakeup: Test v2 Before It Hits Your Pipeline
よくある質問
CVE-2025-55182とは？
React Server Componentsでの悪質ペイロードデシリアライズによる認証不要RCE。CVSS 10.0。React 19.0-19.2.0とNext.jsなどフレームワークに直撃。
React Server Components脆弱性の修正法は？
Reactを19.0.1以上にアップグレード。Next.jsはバージョンごと（例：[email protected]）。server-domパッケージでnpm ls。フレームワークブログ確認。
パッチ後Next.jsは安全か？
指定バージョンならYes。だが依存監査を。ホスティングの臨時対策あり——これだけに頼るな。
クライアントオンリーReactアプリに影響？
なし。サーバーレスか純クライアント？ 無傷。RSCはサーバー必須だ。
