今日ニュース速報
天気・社会
全国的に雨。東京は初一桁の冷え込み[80][51]、大阪は10度割れ恐れ[64]、熊本は午後傘必須[94]、台風32号注意[85][93]。東北新幹線は架線付着で2時間20分見合わせ後再開[95]、中央線は国分寺の人身事故で見合わせ・遅延[91][98][5]、舎人ライナー2033年度資金不足[40]、安曇野など3.2万戸停電[89]、愛媛でパラグライダー死亡事故[133]、「少林寺レーシング」拡大[1]、青森市議選投票率最低[83][127]。ユニクロのシャツ[14]やゴルフティー[84]も話題。
経済
日経平均は急落から反発し午前1976円高[29][33]。ロシアのJT管理で株ストップ安[47]、KDDI株安で社長謝罪[4]、ソフトバンクG安値[13]。三井化学が1兆8400億円でJSR買収[15][20]。上場企業純利益43%増、翻訳業は7割減[117]。医療費49兆円、高齢者負担見直し[41]、低所得者給付5000円[61]、一人暮らし生活費月19万円[30]。長谷川工務店破産[16]、トリドールHD勧告[24]、日本ハム下方修正[73]、「あるじゃん」[75]。次期カローラ新プラットフォーム[35]、クラウンセダン新グレード[76]、ノート仕様変更[144]。
テック
NVIDIAフアンCEOスパイ疑惑で独立調査[6][25]、相手はアリス・フアン氏[32]、株安もCEO強気[46]。中国無人機に緊急発進、AMRAAM国内組立[18]。マスク氏が世界初トリリオネア[37]、「テラファブ」2028年量産へ[49]。バフェット氏会長退任[23]。メーガン妃の父逮捕[67]、小室眞子さん表紙[118]。ジェットスター全面白機体[48]。ポケモンGOザシアン復刻[9]、PS Plus無料[21]、Z Fold8[56]、マック原神コラボ[134]、学マス新アイドル[145]、BLG決勝[7]、ワンピ1198話[71]、ヤマト完結・ゆるキャン4期[10]、スパイファミリー4期[81]。
エンタメ
『ゴジラ-0.0』100万人[106]、IMAX初日歴代1位[112]、ムビチケ急増[107]、TOHO横浜IMAXレーザー[139]、『負けへんで』竜星涼[141]、アポロシネマ[142]、イオン刷新[148]、「男ともだち」中島歩[77]。松井監督スルー[2]、ZIP4000回・桝水卜再会[3]、チョコプラ[54][109]、TBS速報[57]、山田涼介秀次[63]、ベストアーティスト[65]、Aぇ!紅白初出場[82]、佐野晶哉[100]、道枝駿佑[101]、CDTV[39]、VIVANT特別編成・飯田P語り[119][90][122]、別班儀礼曲[115]、大逆転の会[105]、仁亀[116]。『119』続編[50]、宝塚新トップ風間柚乃[27]、目黒蓮主演[28]、ソン・イェジン[34]、杉田かおる[12]、中村うさぎ[92]、広末長男[97]、太川陽介[113]、ヒコロヒー[132]、黒島結菜[120]、テリー伊藤[135]、中町綾[140]、上田諭尉さん死去[149]。
スポーツ
阪神立石復帰[11]、巨人スタントン検討[26]、牧原残留[31][58]、斉藤・小久保共闘[55]、吉田輝星先発転向[45]、細川更改[70]、羽田に構想[129]、小宮山悟退任[78]、社会人選手権[60]。Jは磐田分け、秋葉監督苦言・声明[42][99][108]、札幌6連勝[102]、水戸8連敗[110]、神戸浦和2-2[114]、町田広島0-0[128]、久保先発[147]。相撲は大の里敗れ豊昇龍白星[87][137]、朝乃山勝利[68]。三浦佳生中国杯優勝[130]、りかしん3位[74]、佐久間朱莉初V[123]、イ・ボミ妊娠[44]、エリザベス女王杯[111]、フォーエバーヤング引退[126]、茅原悠紀[103]、関原翔TKO負け[121]、井岡一翔合宿[38]、世田谷246ハーフ古川V[52]、ソフトテニス[72]。高校サッカーは福岡・飯塚PK勝ち[66][86][125]、兵庫決勝[69]、神村学園V[79]。
海外
リーブス43得点レイカーズ勝ち[17][8]、ウルブズ[36]、シクサーズ勝ち[43]、ルクレール第一子・ペナルティ[22]。最下位サンダーランドがチェルシー撃破[59][104]、リバプール3発勝利で鎌田4連敗[136][150]、ボーンマス8連勝・前田先発[53][143]、マンUはビラと4-4[88][146]、ブライトン2位[124]、フェルミン2発でバルサV[62][96]、ミランとリール勝ち[131][138]、小杉啓太メンバー外[19]。
【緊急警報】React Server ComponentsのRCE脆弱性CVSS 10.0発覚—Next.jsユーザーは即時アップデートを
ニュース要約: React Server Components (RSC)に認証不要のRCE脆弱性「CVE-2025-55182」（CVSS 10.0）が発覚。RSCの通信プロトコル「Flight」の不安全なデシリアライズが悪用され、サーバーが完全に乗っ取られる可能性があります。Next.js App Router利用者が特に影響を受け、インターネット公開インスタンスの44%が危険に晒されています。React 19.0.1、Next.js 15.0.5など、最新の修正パッチへの緊急アップグレードが必須です。
【緊急警報】React Server Componentsに認証不要のRCE脆弱性「CVE-2025-55182」が発覚、CVSS 10.0の最高評価—即時アップデート必須
深刻度10.0、世界中のクラウド環境に潜在的な脅威
2025年12月上旬、ウェブアプリケーション開発のデファクトスタンダードであるJavaScriptライブラリ「React」の最新アーキテクチャ、React Server Components（RSC）において、極めて深刻なセキュリティ脆弱性が公表された。この欠陥は「CVE-2025-55182」として識別され、認証なしにサーバー上で任意のコードを実行できるリモートコード実行（RCE）を可能にするものであり、共通脆弱性評価システム（CVSS）では最高評価の10.0がつけられている。
この脆弱性は、RSCがサーバーとクライアント間の通信に使用する「Flight」プロトコルに起因する。具体的には、クライアントからサーバーへ送信されるリクエストのペイロードをサーバー側で逆シリアライズ（デシリアライズ）するプロセスにおいて、入力値の検証が不十分であったことが原因だ。攻撃者は、この不安全なデシリアライズのメカニズムを悪用し、特殊な細工を施したHTTPリクエストを送信するだけで、サーバーの完全な制御権を奪取することが可能となる。
セキュリティ研究機関Wizの調査によれば、この脆弱性の悪用難易度は極めて低く、認証やユーザーインタラクションを必要としないため、実環境での成功率が非常に高いと報告されている。サーバーが侵害された場合、機密データの漏洩、データベース認証情報の窃取、ランサムウェア攻撃、さらには内部ネットワークへの横展開（ラテラルムーブメント）など、事業継続を脅かす重大な被害に直結する。
Next.jsなどエコシステム全体に波及する広範な影響
このCVE-2025-55182の脅威は、単にReactライブラリ単体にとどまらない。RSCの機能が組み込まれている主要なウェブ開発フレームワークのエコシステム全体に波及している。
特に、RSCを中核機能とするNext.jsのApp Routerを利用しているアプリケーションは、深刻な影響を受ける。Next.jsチームもこれに対応する緊急パッチをリリースしており、該当するNext.jsのユーザーは、脆弱性を持つReact 19.x系（19.0.0、19.1.0、19.2.0など）のコンポーネントを内包しているため、迅速なアップグレードが不可欠となっている。
影響を受ける主なコンポーネントは以下の通りである。
react-server-dom-webpackreact-server-dom-parcelreact-server-dom-turbopack
Wizのデータ分析では、クラウド環境におけるReactまたはNext.jsのインスタンスのうち、約39%がこの脆弱性の影響を受ける可能性があり、そのうちの44%はインターネットに公開されているという。これは、多くの企業がデフォルト設定のままアプリケーションをデプロイしており、認証チェックなしにRSCのサーバー関数エンドポイントが外部に露出している現実を浮き彫りにしている。
RSCの設計思想とセキュリティ境界線の再考
React Server Componentsは、サーバーサイドレンダリング（SSR）の性能を向上させ、クライアントJavaScriptのバンドルサイズを削減し、サーバー側で機密データを扱うことでセキュリティを強化することを目的として設計された。しかし、今回のCVE-2025-55182の露呈は、RSCの「サーバー関数（Server Actions）」が持つ、クライアントから直接呼び出せるという利便性が、同時に新たなセキュリティリスクを生み出したことを示唆している。
今回の問題は、RSCの通信メカニズム自体が、信頼できない入力を処理する際の安全性を確保できていなかった点にある。本来、RSCはサーバーとクライアントの境界線を曖昧にし、開発体験を向上させることを目指したが、その境界線がセキュリティ上の防御壁としても機能しなければならないという厳格な教訓を突きつけた。
開発者に求められる緊急対応と今後の対策
Reactチーム及びNext.jsチームは、この危機的な状況に対し、迅速に修正パッチを公開した。
【即時アップグレード推奨バージョン】
- React: 19.0.1、19.1.2、19.2.1以降のバージョン。
- Next.js: App Routerを使用している場合は、15.0.5、15.1.9、15.2.6以降のバージョン。
開発者やシステム運用者には、プロジェクトの依存関係を直ちに確認し、上記の安全なバージョンへの更新が強く推奨される。
また、単なるライブラリのアップデートに留まらず、RSCのサーバー関数を利用する際には、明示的な認証（ユーザーのログイン状態の確認）や認可（権限チェック）を徹底的に実装することが、今後のRSCを活用したアプリケーション開発における必須要件となる。
CVE-2025-55182は、モダンなウェブアーキテクチャにおけるデシリアライズ処理の脆弱性が、いかに広範囲かつ致命的な結果をもたらすかを再認識させる事例となった。ウェブの利便性とセキュリティを両立させるための、より厳格な設計思想と防御策の導入が、業界全体に求められている。
参考情報源
関連コンテンツ
マイニュースへ
あなた専用のニュースレポートをチェックしましょう