はじめに：React Server Components (RSC) のセキュリティリスク

React Server Components (RSC) は、現代のWebアプリケーション開発においてパフォーマンスと開発者体験を大きく向上させる革新的な技術として注目されています。しかし、そのサーバーサイドとの密接な連携ゆえに、セキュリティ上の脆弱性が発生した場合、サービス全体に甚大な影響を及ぼす可能性があります。今回、RSCに関連する深刻なサービス拒否（DoS）脆弱性（GHSA-rv78-f8rc-xrxh / CVE-2026-23870）が報告されました。日本のフロントエンドエンジニアの皆さんも、ご自身のプロジェクトが影響を受ける可能性がないか、速やかに確認し対応することが求められます。

今回の脆弱性「CVE-2026-23870」とは？

この脆弱性は、深刻度が「High」と評価されており、React Server Componentsにおいてサービス拒否（Denial of Service; DoS）を引き起こす可能性があります。具体的には、悪意を持って細工されたHTTPリクエストがサーバー関数エンドポイントに送信されると、サーバーのメモリが枯渇したり、CPU使用率が過剰になったりする事態が発生します。これにより、アプリケーションが正常に動作しなくなり、最悪の場合、ユーザーがサービスを利用できなくなるという深刻な影響が発生する恐れがあります。

影響を受けるパッケージとバージョン

この脆弱性の影響を受けるのは、以下の `react-server-dom-*` パッケージの特定のバージョンです。

<ul><li><code>react-server-dom-webpack</code></li><li><code>react-server-dom-parcel</code></li><li><code>react-server-dom-turbopack</code></li></ul>

対象となるバージョン範囲は以下の通りです。

<ul><li><code>19.0.0</code> から <code>19.0.5</code></li><li><code>19.1.0</code> から <code>19.1.6</code></li><li><code>19.2.0</code> から <code>19.2.5</code></li></ul>

もしあなたのプロジェクトがこれらのパッケージのいずれかを上記のバージョンで利用している場合、直ちに対応が必要です。Next.jsなどのフレームワークを使用している場合も、内部的にこれらのパッケージに依存している可能性がありますので、注意深く確認してください。

私は影響を受ける？確認すべきポイント

以下のいずれかの条件に当てはまる場合、この脆弱性の影響を受けません。

<ul><li>Reactコードがサーバーサイドの機能（React Server Componentsを含む）を一切使用していない場合。</li><li>React Server Componentsをサポートするフレームワーク、バンドラー、またはバンドラープラグイン（例: Next.jsのApp Router機能など）を使用していない場合。</li></ul>

上記に当てはまらない場合は、影響を受ける可能性があるため、次のステップに進んでください。

緊急対応：速やかなバージョンアップを！

この脆弱性はすでに修正されており、以下のバージョンにバックポートされています。該当パッケージを利用している場合は、緊急でこれらの修正済みバージョンへのアップデートを強く推奨します。

<ul><li><code>19.0.6</code></li><li><code>19.1.7</code></li><li><code>19.2.6</code></li></ul>

例えば、npmを使用している場合は、プロジェクトのルートディレクトリで以下のコマンドを実行して依存関係を更新できます。特定のパッケージを指定して更新するか、プロジェクト全体の依存関係を最新の状態に保つようにしましょう。

<code>npm update react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack</code> または <code>npm update</code>

yarnを使用している場合は、同様に以下のコマンドを実行してください。

<code>yarn upgrade react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack</code> または <code>yarn upgrade</code>

アップデート後には、必ずプロジェクトのビルドとテストを実行し、意図しない挙動が発生していないか確認することをお勧めします。詳細な情報やアップグレード手順については、React公式ブログの関連記事（公開され次第）を参照してください。

まとめ

フロントエンド開発において、セキュリティパッチの適用はサーバーサイドと同様に非常に重要です。特にReact Server Componentsのようにサーバーと密接に連携する技術では、その影響範囲は広範に及びます。今回のDoS脆弱性への迅速な対応は、あなたのサービスを守り、ユーザーに安定した体験を提供するために不可欠です。常に最新の情報をキャッチアップし、安全な開発を心がけましょう。