要点
- React Server Components の部品に、ログインなしで外からコードを実行されうる重大な欠陥が見つかった。
- 当たるのは「ごくまれ」な条件のときだけとされる。advisory は、該当する部品を使っているなら修正版へ「すぐに」更新するよう求めている。
- advisory は悪用を確認したとは書いていない。現時点では「悪用は未確認」である。
何が起きたか
GitHub の Advisory Database に、React の周辺部品の欠陥が載った。題は「React: Unauthenticated Remote Code Execution in React Server Components」。RCE（外部から相手のサーバーで好きなコードを動かせてしまう欠陥）で、ログインも要らない。深刻度は最高ランクの Critical で、CVSS v4 の点数は 9.5 とされる。advisory 自体は 2026年10月14日の公開で、同 Database への追加と更新は 11月10日である。
advisory によると、React Server Components に対応したフレームワークに細工したデータを送ると、コードを実行できてしまう。弱点の種類は、信頼できないデータの読み込み（デシリアライズ）である。発見者は evolutionstorm と記されている。
ただし条件は狭い。advisory は、影響が出るのは「ごくまれ」な場合だけだと書く。具体的には、サーバーの応答に複数の型付き配列（数値データの入れ物）が含まれ、そこに攻撃者が操作できる値が混ざるときである。この条件が現実にどれだけ起きうるかは、一次情報からは分からない。
次の場合は影響を受けない。
- サーバーを使わないアプリ
- React Server Components に対応したフレームワーク・ビルドツール・プラグインを使っていないアプリ
悪用の有無について、advisory は何も述べていない。対策として advisory が示しているのは、修正版への更新である。
日本の利用者への影響
日本の組織への影響については、advisory にも Mend.io の記載にも書かれていない。自社サイトや受託案件が当たるかは、使っている部品を調べないと分からない。
今すぐやること
- 自社や委託先のサイトが、React Server Components 対応のフレームワークを使っているか確認する。
- 使っているなら、開発担当に、下記 3 つの部品が入っているかを調べてもらう。
- 入っていれば、修正版（19.0.9、19.1.10、19.2.9、19.3.1 のうち自分の系列のもの）へ更新する。advisory は「すぐに更新」を勧めている。
- 更新後、本番の環境にも修正版が入っていることを確かめる。
- フレームワークの提供元が出す案内も確認する。部品がフレームワーク経由で入る場合、そちらの更新が必要なことがある。
背景
advisory は、この欠陥の弱点の種類を CWE-502（信頼できないデータのデシリアライズ）としている。細工したデータで、React Server Components に対応したフレームワークがコードを実行されうる、という内容である。
Mend.io の脆弱性データベース（WS-2026-0170）は、サーバー応答を書き出す部分の不具合に触れている。型付き配列を、元の入れ物全体への見え方として出力し、大きな塊をコピーせずに書き込む、という説明である。ただし二次的な情報で、advisory との関係は本文では断定しない。
技術者向けの詳細
- advisory: GHSA-xqc2-xf4c-x3h3、CVE-2026-126187（advisory 記載のまま）、CWE-502。
- CVSS v4: 9.5、AV:N/AC:L/AT:P/PR:N/UI:N。
- 対象パッケージ（npm）: react-server-dom-webpack、react-server-dom-turbopack、react-server-dom-parcel。
- 影響を受ける版: 19.0.0 以上 19.0.9 未満、19.1.0 以上 19.1.10 未満、19.2.0 以上 19.2.9 未満、19.3.0 以上 19.3.1 未満。
- 修正版: 19.0.9、19.1.10、19.2.9、19.3.1。advisory の Patches 欄に「19.0.09」とあるが、誤記とみられる。
- 回避策: advisory に記載なし。EPSS は空欄。悪用の記載なし。
- 有無の確認例:
npm ls react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel
- 修正の PR は react/react の #37842〜#37846（advisory の表記。Mend.io は facebook/react.git と記す）。詳細は advisory のリンクを参照。
- 補足: Mend.io の WS-2026-0170 は、型付き配列の扱いに起因すると要約している。二次的な情報である。
