【要点】
◎React2Shell（CVE-2025-55182）は認証不要でRCEに至る深刻脆弱性。公開直後から中国系含む攻撃が活発化し、CISAもKEV登録。React最新版で修正済みで、早急な更新と侵害調査が必要。
【図表】
出典: https://piyolog.hatenadiary.jp/entry/2025/12/08/113316
【要約】
React Server Components に確認された RCE 脆弱性「CVE-2025-55182（React2Shell）」は、Flight プロトコルにおける信頼できないデータのデシリアライズが原因で、認証不要で任意コード実行が可能となる。CVSS 10.0 の緊急対応が必要な深刻な脆弱性で、React 19.0.1／19.1.2／19.2.1 で修正済み。Next.js や Waku、RedwoodSDK、Vite RSC など下流エコシステムも影響を受ける。公開直後から Earth Lamia、Jackpot Panda を含む複数の攻撃者が悪用を開始し、/etc/passwd 取得、/tmp/pwned.txt 作成、XMRig展開、クラウド認証情報窃取などの攻撃が観測されている。CISA は12月5日にKEVへ登録し、連邦機関に14日以内の対処を義務付けた。PoC も出回っており、利用企業は早急な更新と侵害有無の確認が必須。
【ブログ】
◆React Server Componentsの脆弱性 CVE-2025-55182（React2Shell）についてまとめてみた。 (piyolog, 2025/12/08)
https://piyolog.hatenadiary.jp/entry/2025/12/08/113316
