#React

React Server Components第三波脆弱性の教訓 ── CVE-2026-23864が暴露したRSCシリアライゼーション層の構造的欠陥

2025年12月から2026年1月にかけて、React Server Components（RSC）で3波にわたる脆弱性が公表された。CVE-2026-23864（CVSS 7.5）は認証不要でメモリ枯渇やCPU過負荷を誘発し得るDoSであり、前回修正の不完全さが追加対応を招いた。本稿はRSCのシリアライゼーション設計に内在するリスクを技術的に分析し、運用側の防御策を整理する。