【要点】
◎Reactの重大脆弱性CVE-2025-55182がKEV入りし、CISAが悪用確認を公表。認証不要でRCE可能で、Next.jsなどにも影響。PoC公開でリスクが高まっており、迅速な更新と調査が必要。
【要約】
米CISAは、React Server Components に存在する深刻なRCE脆弱性「CVE-2025-55182」が実際に悪用されているとして、同脆弱性を既知悪用脆弱性（KEV）カタログに追加し、行政機関へ期限内対応を指示するとともに一般利用者へ注意喚起した。問題は信頼できないデータをデシリアライズする欠陥で、細工したHTTPリクエストにより認証不要でリモートコード実行が可能。影響範囲はNext.js、Waku、Redwood SDKなど一部ランタイムやフレームワークにも波及する。PoCコードも公開済みで悪用リスクが急上昇しており、アプリが明示的にサーバ機能を実装していなくても影響を受け得るため、速やかな更新と影響調査が求められる。
【ニュース】
◆深刻な「React」脆弱性、米当局が悪用に注意呼びかけ (Security NEXT, 2025/12/08)
https://www.security-next.com/178085
