2025年12月11日更新
新たに2件のCVE（CVE-2025-55183およびCVE-2025-55184）が、React向けおよびNext.js向けに発表されました。F5は、脆弱性の悪用を防ぐためのWAFアップデートをリリースしました。ReactまたはNext.jsを使用するすべてのアプリケーションは、引き続きできるだけ早く最新バージョンへアップグレードする必要があります。
新たなセキュリティ脆弱性「CVE-2025-55182」がReactで発見されました。CVSSスコアは10.0で、この広く利用されているJavaScriptライブラリを使用するアプリケーションが、リモートコード実行（RCE）によるサイバー攻撃を受ける可能性があります。
アプリケーションでReactを使用している開発者や組織は、この脆弱性が悪用されると影響を受けるシステムが侵害される可能性があるため、直ちに自社のシステムを評価する必要があります。
影響を受けるバージョン
このCVEは、以下のバージョンのReactに影響することが確認されています。
- 19.0.0、19.1.0、19.1.1、19.2.0
これらのバージョンのReactに依存するシステムやアプリケーションは脆弱性の影響を受けると見なされるため、直ちにアップグレードする必要があります。詳細については、Reactチームの「一般公開されている通知ページ」をご覧ください。
このCVEは、以下のバージョンのNext.jsに影響することが確認されています。
- Next.js 15.x、Next.js 16.x、Next.js 14.3.0-canary.77以降のcanaryリリース
脆弱性のあるバージョンのNext.jsは、上記のバージョンのReactに依存しているため、脆弱性の影響を受けます。Next.jsの脆弱性はCVE-2025-66478として参照される場合もありますが、根本的な脆弱性がReactのCVE-2025-55182に起因するため、重複として却下されています。これらのバージョンのNext.jsに依存するシステムやアプリケーションは脆弱性の影響を受けると見なされるため、直ちにアップグレードしてください。詳細については、Next.jsチームの「一般公開されている通知ページ」をご覧ください。
F5による保護の強化
ReactおよびNext.jsをセキュアなバージョンにアップグレードすることに加え、F5のお客さま向けに、CVE-2025-55182の悪用の試みを検知してブロックする強化版Web Application Firewall（WAF）シグネチャをリリースしました。これらのシグネチャは、ReactおよびNext.jsアプリケーションを標的とする既知の攻撃ベクトルに対し、防御層を追加します。
F5 BIG-IP Advanced WAF / ASM、F5 WAF for NGINX、F5 NGINX App Protect WAFのシグネチャ
バックエンドプールメンバーの保護に、F5 BIG-IP Advanced WAF、F5 BIG-IP Application Security Manager（ASM）モジュール、F5 WAF for NGINX、またはF5 NGINX App Protect WAFを使用している場合、ブロッキングモードで有効にした以下の攻撃シグネチャを使用することで、バックエンドプールメンバーに対するこの脆弱性を緩和できます。
- React Server Components RCE、ID 200204048
- Next.js RSCリモートコード実行、ID 200204050
- Next.jsサービス拒否、ID 200012097
- Next.jsサーバー関数のコード露出、ID 200009348
この攻撃シグネチャは、新たにリリースされた攻撃シグネチャ更新ファイルASM-AttackSignatures_ 20251211_163605.imに含まれています。このシグネチャをシステムで利用できるようにするには、シグネチャファイルをASM-AttackSignatures_ 20251211_163605.im以降に更新する必要があります。
F5 Distributed Cloud WAFシグネチャ
新しいシグネチャ200204048、200204050、200012097、200009348が、Distributed Cloud上のすべてのRegional Edge（RE）にリリースされました。この保護機能を使用するには、Distributed Cloud WAFポリシーでHighおよびMedium Accuracyシグネチャがブロッキングモードで有効になっていることを確認してください。
F5の保護機能を最新の状態に保つことが重要です
攻撃者はこれらのCVEを積極的に悪用しようとしており、F5は既知の攻撃経路では対応できない新たなエクスプロイトがないか、状況を注意深く監視しています。攻撃者に先んじるには、F5の保護機能を最新の状態に保つことが極めて重要です。進化する脅威への保護を継続するため、必要に応じて新しいシグネチャやアップデートがリリースされる場合があります。シグネチャのアップデートについて詳しくは、F5ナレッジベース記事K000158058、F5ナレッジベース記事K000158154、F5ナレッジベース記事K000158155、および攻撃シグネチャに関するF5 Cloudドキュメントに記載されているガイダンスに従ってください。
著者について
関連するブログ記事
F5 Distributed Cloud CDN：アプリを高速化、ワンクリックで有効化、コストを削減
F5 Distributed Cloud CDNなら、既存のセキュリティポリシーを変更することなく、ワンクリックでアプリを高速化し、オリジンの負荷とエグレスコストを削減して、コンバージョンを向上できます。
F5 BIG-IP v21.1を先行紹介：AIセキュリティ、PQC、ソフトウェアの機能強化
F5のBIG-IP v21.1がAIセキュリティとPQC対応への準備をどのように実現するかをご紹介します。
新しいAI AssistantでGuardrailsを高度化し、セキュリティを強化
F5の新しいAI Assistantは、AI Guardrailのカスタムスキャナー機能に直接組み込まれています。この機能により、企業はGenAIを活用して、自社固有のユースケースや独自のリスクプロファイルに沿ったポリシーを作成し、標準搭載の保護機能を超える対策を実現できます。
EU AI Actへの準拠がより容易に
AIシステム全体でEU AI Act、特に最も重大な禁止事項を運用に落とし込むには、どうすればよいのでしょうか。GenAIを導入するチームにとって、Article 5の「禁止されるリスク」に関する規定への対応には特有の課題があります。操作的な行為、生体認証による監視、ソーシャルスコアリングなど、最も重大な違反の多くは、従来のセキュリティツールでは容易に検出できないためです。F5のAI […]
AIレッドチームに欠けているものと、その改善方法
レッドチーミングは長年にわたり、企業セキュリティの要となってきました。しかし生成AIに関しては、多くの組織が新たな脅威環境に旧来の手法を適用しています。静的なプロンプトテスト、単発の監査、CLIベースのツールでは明らかな不具合を発見できる場合もありますが、導入後の生成AIシステムの挙動が持つ現実世界の複雑さを捉えられることはほとんどありません。 […]
欧州連合の人工知能法
AIが国際ビジネスのあり方を変える中、欧州連合の人工知能法（EU AI Act）は、AI技術の進化における重要な節目となっています。27か国で法制化されたこの重要な規制枠組みは、AIの利用を予定するあらゆる企業や組織に影響を及ぼし、AIシステムのあり方を形作ることになります。[…]