I. 概要
2025年12月3日（現地時間）、React Server Componentsにおける認証不要のリモートコード実行の脆弱性（CVE-2025-55182）が公開されました。攻撃者が細工したHTTPリクエスト（HTTP経由の不正なFlightペイロード）をReact Server Components（RSC）を処理するサーバーに送信することで、認証不要のリモートコード実行につながる可能性があります。
なお、JPCERT/CCでは有効な概念実証（PoC）コードの公開を確認しました。
今後本脆弱性が悪用される可能性が高まっていると考えられます。
本脆弱性の影響を受ける製品を利用している場合は、後述「III. 対策」に記載の情報を確認の上、対策の実施を検討してください。
** 更新: 2025年12月10日 ******************************************
本脆弱性は、CNF公開時点では悪用が確認されていませんでしたが、その後、複数のセキュリティベンダーなどから悪用事例が報告されています。また、JPCERT/CCの調査においても本脆弱性の国内での悪用を確認しています。新たに追記した「IV. 侵害検出方法」などを参考に、自組織において不審な通信が発生していないかなどの確認と早期の対策の実施を推奨します。
** 更新終了 ******************************************************
II. 対象
（React）
次のパッケージのバージョン19.0、19.1.0、19.1.1、19.2.0が本脆弱性の影響を受けます。
- react-server-dom-webpack
- react-server-dom-parcel
- react-server-dom-turbopack
なお、React Server Functionエンドポイントを実装していなくても、React Server Componentsをサポートしている場合、本脆弱性の影響を受ける可能性があります。
また、次の場合は本脆弱性の影響を受けません。
- アプリ内のReactコードがサーバーを使用していない場合
- アプリがReact Server Componentsをサポートするフレームワーク、バンドラー、またはバンドラープラグインを使用していない場合
（上記に関連するフレームワークなど）
Next.jsのような一部のReactフレームワークおよびバンドラーについても、本脆弱性の影響を受けるReactパッケージに依存するなどの理由から、本脆弱性の影響を受けます。
Reactの開発チームによると、次のReactフレームワークおよびバンドラーが影響を受ける可能性があるとのことです。
- next
- react-router
- waku
- @parcel/rsc
- @vitejs/plugin-rsc
- rwsdk
（Next.js）
次に該当するバージョンが本脆弱性の影響を受けます。
- Next.js 16.x
- Next.js 15.x
- Next.js 14.3.0-canary.77以降のcanaryリリース
なお、次の場合は本脆弱性の影響を受けません。
- Next.js 14.x stable
- Next.js 13.x
- Pages Routerアプリケーション
- Edge Runtime
** 更新: 2025年12月10日 *******************************************
Next.jsはReact Server Componentsを標準的に採用しています。ECサイトやコーポレートサイト、SaaSなどさまざまなWebサービスに利用されていることから、これらのサービスの構成要素の一部であるReact Server Componentsの脆弱性の影響が広範に及ぶことが懸念されます。Next.js以外のWebアプリケーションフレームワークにおいてもReact Server Componentsに対応するものは幅広くあるため、今後、各製品の開発者などが本脆弱性に対応した修正バージョンを公開することが見込まれます。自組織で利用している製品やサービスにおいて本脆弱性に関連する情報が公開されていないかを注視してください。
なお、すでに本脆弱性のスキャナーが各所から数多く公開されていますが、スキャナーの実行によりマルウェア感染させる挙動が確認されたケースがあります。自組織においてスキャナーを用いた本脆弱性の検知などを実施される前に、信頼できる提供元であるか確認されることを推奨します。
** 更新終了 *******************************************************
III. 対策
開発者が公開する情報を確認の上、修正済みのバージョンへの更新を検討してください。
** 更新: 2025年12月10日 *******************************************
IV. 侵害検出方法
Amazon Web Servicesが公開する次のレポートの「Indicators of compromise」を参考にアプリケーションやWebサーバー、WAFなどのネットワーク機器のログなどに不審な点がないか確認することを推奨します。
Amazon Web Services
China-nexus cyber threat groups rapidly exploit React2Shell vulnerability (CVE-2025-55182)
https://aws.amazon.com/jp/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/
JPCERT/CCが確認した攻撃通信で、本脆弱性の悪用により以下の宛先を通信先とするペイロードを確認しました。記載はあくまで一部の例ですので、該当する通信が発生していないか確認することにあわせて、本項に記載の他の侵害検出方法も確認いただくことを推奨します。
- https[:]//gist.githubusercontent[.]com/demonic-agents/39e943f4de855e2aef12f34324cbf150/raw/e767e1cef1c35738689ba4df9c6f7f29a6afba1a/setup_c3pool_miner.sh
- https[:]//raw.githubusercontent[.]com/C3Pool/xmrig_setup/master/setup_c3pool_miner.bat
- meomeoli.mooo[.]com
- 89.144.31[.]18
- api.hellknight[.]xyz
- 171.252.32[.]135
加えて、次のレポートには、攻撃を受けたサーバーが通信する不正な通信先などのIoC情報が公開されています。自組織において不審な通信が発生していないかの確認の参考にしてください。なお、各レポートに記載のIoC情報は随時更新される可能性があります。
LAC
Reactの脆弱性を狙った攻撃の観測
https://www.lac.co.jp/lacwatch/alert/20251209_004572.html
Wiz
React2Shell: Technical Deep-Dive & In-the-Wild Exploitation of CVE-2025-55182
https://www.wiz.io/blog/nextjs-cve-2025-55182-react2shell-deep-dive
Palo Alto Networks
Exploitation of Critical Vulnerability in React Server Components (Updated December 9)
https://unit42.paloaltonetworks.com/cve-2025-55182-react-and-cve-2025-66478-next/
sysdig
EtherRAT: DPRK uses novel Ethereum implant in React2Shell attacks
https://www.sysdig.com/blog/etherrat-dprk-uses-novel-ethereum-implant-in-react2shell-attacks
** 更新終了 *******************************************************
V. 悪用状況
2025年12月4日時点で、JPCERT/CCでは悪用に関する情報は確認していませんが、一部の海外セキュリティベンダーから本脆弱性の悪用を試行する通信を確認したとの情報が示されていることを確認しました。
** 更新: 2025年12月10日 *******************************************
2025年12月5日以降、複数のセキュリティベンダーなどから本脆弱性の悪用事例が報告されています。また、JPCERT/CCは、本脆弱性を悪用した攻撃の被害を受けたという報告を国内の組織から受領しています。
** 更新終了 *******************************************************
VI. 関連情報
The React Team
Critical Security Vulnerability in React Server Components
https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
CVE
CVE-2025-55182
https://www.cve.org/CVERecord?id=CVE-2025-55182
Next.js
Security Advisory: CVE-2025-66478
https://nextjs.org/blog/CVE-2025-66478
** 更新: 2025年12月10日 *******************************************
関連情報のタイトルの変更および関連情報の追加を実施しました。
Wiz
React2Shell (CVE-2025-55182): Everything You Need to Know About the Critical React Vulnerability
https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182
LangGenius
Release v1.10.1-fix.1 · langgenius/dify
https://github.com/langgenius/dify/releases/tag/1.10.1-fix.1
** 更新終了 *******************************************************
CyberNewsFlashは、注意喚起とは異なり、発行時点では注意喚起の基準に満たない脆弱性の情報やセキュリティアップデート予告なども含まれます。今回の件を含め、提供いただける情報がありましたら、JPCERT/CCまでご連絡ください。
改訂履歴
2025-12-05 初版
2020-12-10 「I. 概要」「II. 対象」「IV. 侵害検出方法」「V. 悪用状況」「VI. 関連情報」を追記・更新
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
早期警戒グループ
Email：ew-info@jpcert.or.jp
