React / Next.js に最高深刻度の脆弱性「React2Shell」（CVE-2025-55182）— Web サーバーが認証なしで乗っ取られる

何が起きたか

2025年12月3日、React の開発チームは、サーバー側で画面を組み立てる仕組み「React Server Components」に、認証なしで外から好きなプログラムを動かされる脆弱性 CVE-2025-55182（CVSS 10.0）があると公表しました。サーバーが受け取ったデータを読み解く処理の誤りが原因で、「React2Shell」と呼ばれました。公表から数日で攻撃が始まり、CISA は12月5日に KEV に追加しています。

影響を受けたのは

• react-server-dom-webpack / parcel / turbopack の 19.0.0、19.1.0、19.1.1、19.2.0
• これらを使う Next.js（App Router）、React Router、Waku などのフレームワーク
• 自分で Server Function を書いていなくても、Server Components を使っていれば対象になりえるとされました

自社で確認したいこと

• React を 19.0.1 / 19.1.2 / 19.2.1 以降に、Next.js を 15.0.5 / 15.1.9 / 15.2.6 / 15.3.6 / 15.4.8 / 15.5.7 / 16.0.7 以降に更新する
• 12月11日にも関連する別の脆弱性が公表されたため、その後の修正版まで続けて更新する
• 制作会社に作ってもらったサイトは、Next.js を使っていないか確認を依頼する