Next.jsが使うReactの部品にDoS脆弱性、実証コード公開 更新を

多くの会社のWebサイトやWebアプリが、裏側で「Next.js」や「React」という部品を使っています。このうち、Reactの「サーバーコンポーネント」という仕組みに、リモートからサイトを止められる脆弱性が見つかっています。情報を盗まれるのではなく、サイトが落ちる「サービス停止(DoS)」の脆弱性です。実証コード(PoC)も公開され、未更新のサイトは狙われやすくなっています。

何が見つかったのか

Reactの開発チームは、React Server Components(サーバーコンポーネント)の部品に、サービス妨害(DoS)の脆弱性があると公式のアドバイザリで公表しました。脆弱性の番号はCVE-2026-23870、深刻度はCVSS 7.5(High)です。

公式の説明によると、サーバーの処理を呼び出す仕組み(server function、Next.jsなどではサーバーアクションと呼ばれるもの)のエンドポイントに、細工したHTTPリクエストを送られると、サーバーがクラッシュしたり、メモリ不足や高いCPU使用に陥ったりします。CVSSの内訳では、攻撃はネットワーク越し・認証不要で、影響は「可用性(サービスの継続)」に対するものです。情報の漏えいや書き換え、乗っ取りではありません。

これらのReactの部品は、Next.jsなどのフレームワークが内部で使っています。そのため、ドイツのBSIは今回の注意情報を「Vercel Next.js」の脆弱性として扱っています。

なぜ今、注意なのか

修正版自体は2026年5月に公開されています。新しいのは、2026年10月にこの脆弱性の実証コード(PoC)が公開されたことです。攻撃の手順が出回ると、技術力の高くない攻撃者でも悪用しやすくなります。認証なしに、公開中のサイトを止められるため、未更新のサイトは早めの対応が要ります。

影響する会社・しない会社

• 影響する: 自社や委託先が、Next.js(App Router)や、React Server Componentsを使うWebサイト・Webアプリを運用している会社。サーバーアクション(server functions)を使っている場合は、とくに確認します。
• 影響する(確認が要る): 制作会社に作ってもらったコーポレートサイトやWebサービス。使っている技術が分からない場合は、制作・保守の会社に確認します。
• 影響しない: サーバーを持たない静的なサイトや、React Server Componentsを使わない構成(公式が「対象外」としています)。
• 影響しない: Next.jsやReactを使っていないサイト。

情シスが今日やること

1. 自社や委託先のWebサイト・WebアプリでNext.jsやReactを使っているかを確認します。分からない場合は、制作・保守の会社に聞きます。
2. 使っている場合は、Reactのサーバーコンポーネントの部品(react-server-dom-webpack / parcel / turbopack)を、19.0.6 / 19.1.7 / 19.2.6 以降に更新します。Next.jsなどのフレームワークは、修正版のReactを含むバージョンに更新します。
3. 公開中で重要なサイト(申し込み・問い合わせ・ECなど)から、優先して更新します。
4. すぐに更新できない場合は、前面のWAFやCDNで、異常なリクエストのレート制限ができないかを検討します。ただし、根本の対策は更新です。
5. 委託先には、対応の予定と完了の報告を求めます。

書かれていないこと

• 実証コード(PoC)の具体的な内容(この記事では扱いません)
• Next.jsなど各フレームワークで、どのバージョンから修正版のReactを含むか(フレームワークごとに異なるため、提供元の情報で確認します)
• 今回の注意情報に含まれるほかのCVE(今回はPoCが公開されたCVE-2026-23870を中心に取り上げました)

2026年10月13日時点の内容です。