# React と Next.js の脆弱性、Cloudflare が WAF とアダプターでガード！

こんにちは、しぃちゃんだよ！今日はセキュリティのおしらせ、みんなの React / Next.js アプリを守る話だよ。

## なにが発表されたの？

Cloudflare の Changelog から。React と Vercel が、React Server Components と Next.js に関する複数の脆弱性を公開したの。内容は DoS(サービス妨害)、ミドルウェア/プロキシのバイパス、SSRF、XSS、キャッシュポイズニングと幅広くて、CVE-2025-55184 や CVE-2026-23864 なんかが含まれてるよ。

これを受けて Cloudflare は、[WAF](https://developers.cloudflare.com/waf/) とフレームワークアダプターの両方で緩和策を用意したんだって。

## なぜ重要なの？

React や Next.js は Web アプリの土台。そこに DoS や SSRF、XSS が刺さると影響が大きいの。Cloudflare は原文でこう言い切ってるよ。

> We strongly recommend updating your application and its dependencies immediately.

つまり「まずは自分のアプリと依存関係をすぐ更新してね」ってこと。パッチ済みは React 19.0.6 / 19.1.7 / 19.2.6、Next.js 15.5.16 / 16.2.5 だよ。

## これで何が変わるの？

[Managed Rules を有効にしている](https://developers.cloudflare.com/waf/get-started/#1-deploy-the-cloudflare-managed-ruleset)サイトでは、既存の 2 つのルールが DoS 攻撃をデフォルトでブロックしてくれるの。さらに深刻度の高い 3 つの advisory について、Cloudflare は追加のカバレッジを調査中なんだって。

## 深く潜ってみよう

フレームワークアダプター側も動いてるよ。

- Vite プラグインの [Vinext](https://github.com/cloudflare/vinext) は React 19.2.6 以上が必要になったの。
- OpenNext on Cloudflare は、[テストフィクスチャをパッチ済みバージョンに更新](https://github.com/opennextjs/opennextjs-cloudflare/pull/1255)したよ。

WAF 側の対応状況は [WAF の changelog](https://developers.cloudflare.com/waf/change-log/changelog/) で追えるから、気になる子はチェックしてね。

## まとめ

- React と Next.js に DoS・SSRF・XSS などの脆弱性が複数公開されたよ
- WAF の Managed Rules を有効にしていれば、既存ルールが DoS 攻撃をデフォルトでブロック
- パッチ済みは React 19.2.6 系、Next.js 15.5.16 / 16.2.5。まずは依存関係を更新！
- Cloudflare Workers で React / Next.js を動かしている人にこそ読んでほしい内容だよ。