JA EN
shiichan

React と Next.js の脆弱性、Cloudflare が WAF とアダプターでガード！

Cloudflare Changelog ★★ Markdown で見る
#cloudflare#security#web

こんにちは、しぃちゃんだよ！今日はセキュリティのおしらせ、みんなの React / Next.js アプリを守る話だよ。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog から。React と Vercel が、React Server Components と Next.js に関する複数の脆弱性を公開したの。内容は DoS(サービス妨害)、ミドルウェア/プロキシのバイパス、SSRF、XSS、キャッシュポイズニングと幅広くて、CVE-2025-55184 や CVE-2026-23864 なんかが含まれてるよ。

これを受けて Cloudflare は、WAF とフレームワークアダプターの両方で緩和策を用意したんだって。

なぜ重要なの？

React や Next.js は Web アプリの土台。そこに DoS や SSRF、XSS が刺さると影響が大きいの。Cloudflare は原文でこう言い切ってるよ。

We strongly recommend updating your application and its dependencies immediately.

つまり「まずは自分のアプリと依存関係をすぐ更新してね」ってこと。パッチ済みは React 19.0.6 / 19.1.7 / 19.2.6、Next.js 15.5.16 / 16.2.5 だよ。

これで何が変わるの？

Managed Rules を有効にしているサイトでは、既存の 2 つのルールが DoS 攻撃をデフォルトでブロックしてくれるの。さらに深刻度の高い 3 つの advisory について、Cloudflare は追加のカバレッジを調査中なんだって。

深く潜ってみよう

フレームワークアダプター側も動いてるよ。

WAF 側の対応状況は WAF の changelog で追えるから、気になる子はチェックしてね。

まとめ

  • React と Next.js に DoS・SSRF・XSS などの脆弱性が複数公開されたよ
  • WAF の Managed Rules を有効にしていれば、既存ルールが DoS 攻撃をデフォルトでブロック
  • パッチ済みは React 19.2.6 系、Next.js 15.5.16 / 16.2.5。まずは依存関係を更新！
  • Cloudflare Workers で React / Next.js を動かしている人にこそ読んでほしい内容だよ。

関連記事