こんにちは、いつも「かつコード」のサイトをご覧いただきまして、ありがとうございます。
2025年12月17日、React・Next.jsで重大な脆弱性が発見されました。
今回はこの脆弱性に関する緊急対応に関する案内です。
Webアプリケーションの継続的なアップデートが重要です
2025年12月、ReactおよびNext.jsにおいて、**CVSSスコア10.0（最高レベル）**となる重大なセキュリティ脆弱性が公開されました。
この脆弱性は「React2Shell」とも呼ばれ、条件によっては**リモートコード実行（Remote Code Execution：RCE）**が可能になる深刻な問題として報告されています。
今回は、この脆弱性の概要と、Webサイト・Webシステムを安全に運用するために重要なポイントをご紹介します。
どのような脆弱性だったのか
今回問題となったのは、React Server Components（RSC）の処理に起因する脆弱性です。
攻撃者が細工したリクエストを送信することで、サーバー上で本来実行されるべきではない処理を実行できる可能性がありました。
この脆弱性は認証なしで悪用できるケースがあり、深刻度は**CVSS 10.0（Critical）**と評価されています。
影響を受ける環境
影響を受けるのは、主に次のような環境です。
- React Server Components（RSC）を利用しているアプリケーション
- Next.js 15.x・16.xでApp Routerを利用している環境
- 一部のCanary版
一方で、
- Next.js 13系
- Next.js 14系の安定版
- Pages Routerのみを利用している環境
などは、この脆弱性の対象外とされています。
実際に攻撃も確認されました
重大な脆弱性は「理論上の問題」で終わることもあります。
しかし今回は、公開後まもなく実際の悪用が確認され、世界中でスキャンや攻撃活動が観測されました。
そのため、多くのセキュリティ機関やクラウドベンダーが「できるだけ早くアップデートを行うこと」を強く推奨しています。
最も重要な対策はアップデート
今回のような脆弱性では、最も有効な対策は修正版への更新です。
公開された修正版へアップデートすることで、多くのリスクを回避できます。
また、万が一、脆弱性が公開される前から攻撃を受けていた可能性がある場合には、
- APIキー
- アクセストークン
- 環境変数（.env）
- データベースのパスワード
などの秘密情報を変更（ローテーション）することも推奨されています。
開発後も保守が重要な理由
Webシステムは、一度公開したら終わりではありません。
ReactやNext.jsだけでなく、
- Laravel
- PHP
- Node.js
- WordPress
- 各種ライブラリ
など、多くのソフトウェアは日々更新されています。
新機能だけでなく、今回のようなセキュリティ修正も頻繁に公開されるため、継続的なメンテナンスが欠かせません。
私たちの取り組み
当社では、Webサイトだけでなく、LaravelやNext.jsなどを利用したWebシステムについても、セキュリティ情報を継続的に確認しています。
重大な脆弱性が公開された際には、
- 影響範囲の調査
- バージョンの確認
- 修正版へのアップデート
- 動作確認
- 必要に応じた追加対応
を迅速に実施し、お客様のシステムを安全に運用できるよう努めています。
システム開発では「作ること」だけでなく、「安全に運用し続けること」も重要な品質の一つだと考えています。
まとめ
今回のReact・Next.jsの脆弱性は、CVSS 10.0という非常に深刻な内容であり、実際の攻撃も確認されました。
こうした事例は、特定のフレームワークが危険ということではありません。
むしろ、多くの利用者がいるソフトウェアだからこそ、問題が見つかれば迅速に修正され、利用者も速やかにアップデートすることが大切です。
ホームページやWebシステムは、公開した後も継続的な保守・運用を行うことで、安全性と信頼性を維持できます。
当社では今後も最新のセキュリティ情報を確認しながら、お客様に安心してご利用いただける環境づくりを続けてまいります。