はじめに：React Router v7に潜むRCEの脅威

フロントエンド開発において欠かせないライブラリの一つ、React Routerに極めて深刻な脆弱性（GHSA-49rj-9fvp-4h2h / CVE-2026-42211）が報告されました。特にReact Router v7を「フレームワークモード」で利用しているプロジェクトは、リモートコード実行（RCE）の危険性があり、Webサイトの乗っ取りや機密情報漏洩に繋がる恐れがあります。本記事では、この脆弱性の詳細、影響を受ける条件、そしてフロントエンドエンジニアとして取るべき具体的な対応策について解説します。

脆弱性の概要と仕組み：なぜRCEに繋がるのか？

この脆弱性は、React Router v7の内部で利用されている`turbo-stream v2`というコンポーネントに起因します。フレームワークモードにおいて、特定の「型エラー時の逆シリアル化」プロセスに問題があり、攻撃者がサーバー上で任意のオブジェクトのコンストラクタ（初期化処理）を不正に呼び出すことが可能になります。これは、攻撃者が意図しないオブジェクトを生成したり、既存のオブジェクトの状態を改変したりする足がかりとなります。

深刻な影響を受けるための条件：プロトタイプ汚染との組み合わせ

この脆弱性が実際にリモートコード実行（RCE）として悪用され、Webサイトの乗っ取りといった重大な被害が発生するためには、以下の2つの条件が揃っている必要があります。

1. **React Router v7を「フレームワークモード」で利用していること**：これは最も重要な条件です。後述の「影響を受けない条件」を確認してください。

2. **アプリケーションコード自体に「プロトタイプ汚染」の脆弱性が既に存在していること**：プロトタイプ汚染とは、JavaScriptオブジェクトのプロトタイプチェーンを不正に操作され、オブジェクトの挙動が意図せず改変されてしまう脆弱性です。攻撃者は、`turbo-stream v2`の脆弱性を利用してオブジェクトのコンストラクタを不正に呼び出し、その過程でアプリケーションに存在するプロトタイプ汚染の脆弱性を悪用します。これにより、認証されていない第三者でもリモート（遠隔）のサーバー上で任意のコードを実行できてしまいます。

つまり、React Router v7の脆弱性単体でRCEが発生するわけではなく、既存のプロトタイプ汚染脆弱性と組み合わせることで、極めて危険な攻撃経路が成立するという点に注意が必要です。

安心してください：影響を受けないReact Routerの利用モード

以下のReact Routerの利用モードを使用している場合は、この脆弱性の影響を受けません。ご自身のプロジェクトがこれらのモードを利用している場合は、現時点での緊急対応は不要です。

1. **Declarative Mode (`<BrowserRouter>`)**：従来の宣言的なルーター定義方法です。

2. **Data Mode (`createBrowserRouter`/`<RouterProvider>`)**：Remixライクなデータ処理機能を備えた新しいルーター定義方法です。

これらのモードは内部で`turbo-stream v2`の脆弱な部分を利用していないため、影響を受けません。

フロントエンドエンジニアが取るべき対応策

ご自身のプロジェクトがReact Router v7のフレームワークモードを利用している可能性がある場合、以下の対応を迅速に行ってください。

1. **React Routerの利用モードを確認する**：まず、ご自身のReact Router v7アプリケーションが「フレームワークモード」で動作しているかを確認してください。最も重要な判断基準となります。不明な場合は、ドキュメントやコードベースを詳細にレビューしてください。

2. **既存のプロトタイプ汚染脆弱性を修正する**：もしフレームワークモードを利用しており、かつアプリケーションにプロトタイプ汚染の脆弱性が確認された場合は、最優先でその脆弱性を修正してください。これは、今回のRCE攻撃を成立させるための「足がかり」をなくす上で不可欠です。サードパーティライブラリの利用状況や、独自のデータ処理ロジックを確認しましょう。

3. **React Routerのアップデートを待つ**：この脆弱性に対する修正がReact Router v7から提供された場合は、速やかに最新バージョンにアップデートすることを強く推奨します。公式のアナウンスを定期的に確認し、修正パッチがリリースされ次第、適用してください。

まとめ

React Router v7のフレームワークモードにおけるRCE脆弱性は、プロトタイプ汚染と組み合わせることで極めて危険な攻撃に繋がりかねません。日本のフロントエンドエンジニアの皆さんには、ご自身のプロジェクトの利用モードを確認し、必要に応じて迅速な対応を取ることを強く推奨します。常に最新のセキュリティ情報をチェックし、安全なWebアプリケーション開発を心がけましょう。