React2Shell とは (CVE-2025-55182 および CVE-2025-66478)

React CVE-2025-55182 および Next.js CVE-2025-66478 (以下、総称して React2Shell と呼びます) はプロトタイプ汚染の脆弱性を反映していますが、従来のものとは異なります。ほとんどのプロトタイプ汚染脆弱性は攻撃者に有益な動作をさせるために追加の脆弱性を必要としますが、これらはたった1つのステップで実現可能です。

これらは CVSS 10.0 (最も重大度が高い) と評価されています。脆弱性が存在する場合は、直ちに対策が必要です。

詳細情報 CVSS 10.0 について学ぶ

影響を受けているかどうかのチェックリスト

脆弱な設定 :

  • React バージョン (19.0、19.1、および 19.2) と、リストされているいずれかの RSC 実装の組み合わせ :

  • Next.js 15、15.1、15.2、15.3、15.4、15.5、16

  • App Router

  • React Router RSC プレビュー

  • Parcel RSC プラグイン

  • Vite RSC プラグイン。

これらのいずれかをパッチを適用せずに使用している場合、脆弱になる可能性があります。

React2Shell インシデントハブ

これらの重要な脆弱性を修正する方法をご覧ください。

  • ステータス更新

    Fastly のセキュリティチームは、React フレームワークで見つかった重大なリモートコード実行の欠陥および関連する脆弱性に関する最新情報をリアルタイムで提供しています。

    インシデントの進捗状況を追跡

  • 対象となる業界および地域

    React2Shell の脅威は世界中の企業に及んでいます。ここでは、Fastly が観測している状況と、脆弱なアプリケーションを直ちに特定して修正することを含め、企業が取るべき対応について説明します。

    詳細を見る

  • お問い合わせ

    修復のサポートが必要ですか？ ご心配は無用です。私たちがサポートいたします。 React2Shell の脆弱性に関するご質問やお問い合わせは、メールでご連絡ください。

    CVE-alert@fastly.com までメールでお問い合わせください

私たちが即座に対応した方法

2025年12月1日の夜、Vercel は Fastly に対し、現在は総称して React2Shell と呼ばれている脆弱性の公開が控えていることを通知しました。この脆弱性の情報を得た直後、Fastly は直ちに内部システムの調査を開始し、お客様へ迅速かつ積極的なサポートを提供するための検知コンテンツの開発に着手しました。

その後の数時間以内に、各企業が影響範囲を評価する猶予を確保できるよう、これらの CVE に対する仮想パッチが提供されました。また、現在までの調査に基づき、Fastly の主要プラットフォームインフラストラクチャは React2Shell による脆弱性の影響を受けないことが確認されています。

Fastly による保護の仕組み

React2Shell の脆弱性によるリモートコード実行を防止するため、Fastly NGWAF をご利用のお客様は、CVE-2025-66478 (CVE-2025-55182 にも対応) の仮想パッチを直ちに適用することを推奨します。12月12日、Vercel および Meta からの CVE-2025-55184 (サービス妨害攻撃) と CVE-2025-55183 (情報漏洩) に関する情報を受け、Fastly は両方に対する仮想パッチを迅速に開発し、デプロイしました。これらのパッチは、すべての Fastly NGWAF のお客様に対して、デフォルトでブロックモードが有効になっています。また、CVE-2025-55184 に対する既存の検知機能は、その後の CVE-2025-67779 も自動的にカバーします。

Fastly Compute は WebAssembly (Wasm) 上で動作し、すべてのリクエストを厳格に隔離しています。このアーキテクチャにより、RCE の脆弱性を悪用した攻撃が実行環境から脱出し、ホストや他のユーザーのデータにアクセスすることを防ぎます。

参考リソース