30秒で判断
- 対応すべき人: React 19.0.0 / 19.1.0 / 19.1.1 / 19.2.0 を使用し、Next.js 15.x / 16.x の App Router でサーバコンポーネントを描画している人
- 対応不要な人: Next.js / React を使っていない、Pages Router のみで App Router を使っていない、または既に修正版（React 19.0.1 以降の各系列 / Next.js の対応版）へ更新済みの人
- 確認コマンド:
npm ls next react（利用中の Next.js / React のバージョンを確認）
概要
CVE-2025-55182 は、React の Flight（React Server Components のシリアライズ／デシリアライズ）プロトコルの処理に起因するリモートコード実行（RCE）の脆弱性です。App Router を利用する Next.js 15.x / 16.x や、該当する React パッケージを利用するフレームワークが影響を受けます。細工したリクエストを処理させることで、サーバ側で任意のコードが実行され得ます。
認証不要かつネットワーク経由で成立し、影響が機密性・完全性・可用性のすべてに及ぶため、深刻度はCVSS 9.8（Critical）と非常に高く評価されています。サーバサイドレンダリングを自前で運用しているアプリケーションでは、早急な対応が推奨されます。
CVSSベクトル
| 指標 | 値 |
|---|---|
| 攻撃元区分 (AV) | Network |
| 攻撃条件の複雑さ (AC) | Low |
| 必要な権限 (PR) | None |
| ユーザー関与 (UI) | None |
| スコープ (S) | Changed |
| 機密性 / 完全性 / 可用性 (C/I/A) | High / High / High |
影響を受けるソフトウェア
| 製品 | パッケージ | 影響バージョン |
|---|---|---|
| React | react (npm) | 19.0.0 / 19.1.0 / 19.1.1 / 19.2.0 |
| Next.js | next (npm) | 15.x / 16.x（App Router 利用時） |
- 実験的な canary チャネルの一部バージョンも影響を受けます。
- Vite の React プラグイン等、該当 React パッケージを利用する他フレームワークも影響し得ます。
修正バージョンと回避策
- React: 19.0.1 / 19.1.2 / 19.2.1 で修正。利用中のマイナー系列に対応する修正版へ更新してください。
- Next.js: 15.0.5 / 15.1.9 / 15.2.6 / 15.3.6 / 15.4.8 / 15.5.7 / 16.0.7 以降で修正（canary は 15.6.0-canary.58 / 16.1.0-canary.12 以降）。利用中のブランチに対応する修正版へアップデートしてください。
- 恒久対策はアップデートです。直ちに更新できない場合も、App Router のサーバコンポーネントを外部から到達可能な経路で公開している構成ほどリスクが高いため、優先的な計画的更新を推奨します。
関連リンク
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。