はじめに

日本のフロントエンドエンジニアの皆さん、こんにちは。今回は、React Server Components（RSC）に関連するライブラリに重大な脆弱性（GHSA-wx67-qw84-cm4g / CVE-2026-44907）が発見されたことについて解説します。この脆弱性は、サーバーがサービス拒否（Denial of Service, DoS）状態に陥る可能性がある深刻度 'high' のものであり、RSCを導入しているプロジェクトでは迅速な対応が求められます。

脆弱性の概要と影響

この脆弱性は、主に`react-server-dom-webpack`、`react-server-dom-parcel`、`react-server-dom-turbopack`といったReact Server Components関連のライブラリに存在します。これらのライブラリは、RSCのランタイムとバンドラーの連携を担っています。

具体的には、悪意を持って作成されたHTTPリクエストをサーバー側の関数エンドポイントに送信することで、脆弱性がトリガーされます。これにより、サーバーのメモリが枯渇（Out-of-Memory）したり、CPU使用率が異常に高まったりする可能性があります。結果として、サーバーが応答不能となり、提供しているサービスが停止する「サービス拒否（DoS）」状態に陥るリスクがあります。これは、ユーザーがWebアプリケーションを利用できなくなることを意味し、ビジネスに甚大な影響を与える可能性があります。

あなたのアプリケーションは影響を受けますか？

以下のいずれかのパッケージを、指定されたバージョン範囲で使用している場合、この脆弱性の影響を受けます。

影響を受けるパッケージとバージョン:

- `react-server-dom-webpack`

- `react-server-dom-parcel`

- `react-server-dom-turbopack`

バージョン範囲:

- `19.0.0` 〜 `19.0.7`

- `19.1.0` 〜 `19.1.8`

- `19.2.0` 〜 `19.2.7`

一方、React Server Componentsを全く使用していないアプリケーションや、Next.jsなどのRSCをサポートするフレームワーク、または対応するバンドラーやバンドラープラグインを使用していないアプリケーションは、この脆弱性の影響を受けません。

直ちに対応が必要な対策

もしあなたのプロジェクトが上記の条件に該当する場合、**直ちに**以下のいずれかの修正済みバージョンへアップグレードすることを強く推奨します。

修正済みバージョン:

- `19.0.8`

- `19.1.9`

- `19.2.8`

例えば、`package.json`で対象ライブラリのバージョンを更新し、`npm install`または`yarn install`を実行してください。CI/CDパイプラインでの自動更新や、依存関係のロックファイル（`package-lock.json`や`yarn.lock`）の更新も忘れずに行いましょう。

まとめ

React Server ComponentsはモダンなWeb開発において強力なツールですが、その複雑性ゆえに今回のようなサーバーサイドに影響を及ぼす脆弱性が発生することもあります。RSCを利用しているフロントエンドエンジニアの皆さんは、今回ご紹介したGHSA-wx67-qw84-cm4gの脆弱性に対して、速やかに対応を行うことが非常に重要です。

常に利用しているライブラリのセキュリティ情報をチェックし、迅速なアップデートを行うことで、安全なアプリケーション運用を心がけましょう。