深刻な「React」脆弱性、米当局が悪用に注意呼びかけ

米当局は、JavaScriptライブラリ「React」の一部コンポーネントに深刻な脆弱性「CVE-2025-55182」が判明した問題で、同脆弱性が悪用されているとして注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が現地時間12月5日、「悪用が確認された脆弱性カタログ（KEV）」へ同脆弱性を追加したもの。行政機関へ指定期間内に対応するよう求めるとともに、利用者へ広く注意喚起を行った。

「CVE-2025-55182」は、信頼できないデータをデシリアライズする脆弱性で「React Server Components」に存在。細工したHTTPリクエストにより、認証を必要とすることなくリモートよりコードを実行することが可能となる。

「Next.js」「Waku」「Redwood SDK」をはじめ、一部ランタイムやフレームワークなど影響が波及している。同コンポーネントを利用している場合にのみ影響を受けるが、アプリ側がサーバ機能を明示的に実装していなくとも攻撃対象となり得る場合があるため、注意が必要となる。

すでに脆弱性の概念実証コードが公開されており、悪用されるリスクが上昇しているとして、国内のセキュリティ機関などからも対応が呼びかけられている。

（Security NEXT - 2025/12/08 ）ツイート