2025年に報告された深刻な脆弱性「React2Shell（CVE-2025-55182）」は、ReactベースのWebフレームワークに対するリモートコード実行（RCE）を可能にするゼロデイ脆弱性として注目されています。
本脆弱性を悪用されると、攻撃者が正規のリクエストを装ってサーバ上で任意のシェルコマンドを実行し、Web改ざんや情報漏えい、持続的な内部侵害に発展するリスクがあります。すでに一部の組織でWeb改ざんや情報漏えいが報告されており、被害の拡大が懸念されています。
特に以下のような兆候がある場合、React2Shellなどのコード実行型脆弱性による侵害が進行中である可能性があります。すぐにログ保全とフォレンジック調査を開始すべきです。
- 特定の画面で改ざん表示やエラーが発生する
- 管理画面の認証情報が勝手に変更されている
- サーバー上に見覚えのないPHPファイルやバッチファイルが存在する
- 不審なIPアドレスから大量アクセスやPOSTリクエストが記録されている
- WAFやEDRがコマンド実行／不審通信を検知している
| 本ページには広告が含まれています。本コンテンツ経由で商品・サービスの申込みがあった場合、企業から送客手数料を受け取ることがあります。 |
React2Shell（CVE-2025-55182）とは
React2Shellは、Reactアプリケーションにおいてサーバサイドレンダリング（SSR）を実装する際、ExpressやNext.jsなどのフレームワークとテンプレートエンジン（例：Pug、EJS、Handlebarsなど）を併用している構成において、ユーザー入力の不適切な処理が原因でコードインジェクションが可能になる設計上の欠陥に起因します。
脆弱なバージョンを使用しているWebサービスでは、外部から細工されたリクエストによりサーバ上で任意のシェルコマンドが実行され、Web改ざん、マルウェア設置、内部ネットワークへの踏み台化といった被害に発展する可能性があります。
出典：IPA
React2Shellの手口
この脆弱性を利用した攻撃は、特定の形式のHTTPリクエストによってトリガーされ、SSR時のテンプレート展開処理の内部でコードが実行されるという特徴があります。
サーバーへの特殊リクエストによるコード実行
攻撃者は、脆弱なエンドポイントに対して特殊なリクエストを送り、パラメータにOSコマンドを埋め込みます。これにより、意図せずバックエンドでシェルコマンドが実行される可能性があります。
テンプレートエンジンの脆弱性を利用
ReactアプリでSSRを採用している場合、テンプレートエンジンの扱いによりユーザー入力が直接コマンドラインに渡されることがあります。この部分に適切なエスケープ処理が施されていないと、任意のコード実行につながります。
脆弱性診断（セキュリティ診断）とは？実施すべき理由と診断サービスについて解説＞
Web改ざんや不正プログラムの設置
実行されたコマンドにより、Webサーバ内にバックドアやWebシェルが設置されたり、外部と通信するスクリプトが埋め込まれたりするケースが報告されています。
システムが何らかの被害を受けた疑いがある場合は、速やかに適切な対応を行う必要があります。初動の判断に迷う場合は、以下の相談窓口をご活用ください。
React2Shellの影響範囲と被害の深刻度
React2Shell（CVE-2025-55182）は、認証不要でリモートから任意のコードを実行されるおそれのある重大な脆弱性であり、悪用された場合には、単一のWebサーバにとどまらず、企業ネットワーク全体に侵害が拡大する可能性があります。
Webサイトの改ざん・不正表示
サイトの一部が書き換えられ、フィッシングページに誘導されたり、不審なスクリプトが埋め込まれたりすることで、訪問者が被害を受ける可能性があります。
情報漏えい（顧客情報・認証情報）
管理画面やデータベースへの不正アクセスにより、個人情報やID・パスワードが外部に持ち出され、二次被害に発展する恐れがあります。
マルウェア・Webシェルの設置
攻撃者がWebサーバ上にバックドアや常駐型のWebシェルを設置し、継続的に操作を続ける状態にされるケースがあります。
内部ネットワークへの横展開
初期侵入点となったサーバを踏み台に、社内ネットワークや他のサーバへ侵入を拡大されるリスクもあります。
リークサイトへの情報掲載・恐喝
盗まれた情報がダークウェブやリークサイトに掲載され、「公表を止める代わりに金銭を払え」といった脅迫を受ける事例も報告されています。
Web改ざんや情報漏えいの兆候が見うけられる段階でも、すでに侵害が進行している可能性もあります。行政への報告や法的対応が必要となる場合もあるため、早急な専門機関への相談をおすすめします。
React2Shellの被害の有無を確認する方法
自社が脆弱なバージョンを使っているか、すでに攻撃を受けていないかを確認するには、次のような観点でチェックを行うことが重要です。
脆弱なバージョンかを確認する
まず、自社で使用しているフレームワークやミドルウェアのバージョンがCVE-2025-55182に該当していないか確認します。開発チームやベンダーへの確認も有効です。
- 対象Webアプリのフレームワーク情報を確認
- アプリケーションやNode.jsの依存バージョンを精査
- 公式の脆弱性情報データベースと照合
不審なファイルやプロセスの存在を確認する
Webサーバ内に、見覚えのないファイルやスクリプトが設置されていないか、またバックグラウンドで不審なプロセスが動作していないかを確認します。
- Webディレクトリ内の新規・不審ファイルを確認
- 起動中プロセスで不明なバッチやPHPプロセスがないか確認
- 不要な常駐サービスの有無を調査
アクセスログやコマンド実行ログを確認する
特定のパラメータやパスで異常なアクセスが集中していないか、またシェルコマンドの実行痕跡がログに残っていないかを確認します。確認箇所は以下の通りです。
- Webサーバのアクセスログを確認（異常なUser-Agentや長いパラメータ）
- /var/log/messagesやaudit.logなどのシステムログを調査
- bash_historyなどコマンド実行履歴の確認
不審なアクセスや未知のファイル・プロセスが確認された場合、内部侵害が進行している可能性もあります。判断に迷う場合は、初動対応を誤る前に専門家への相談をおすすめします。
React2Shellの対処法
React2Shellの疑いがある場合、むやみに操作や復旧を行うと状況を悪化させる可能性があります。ここでは、被害の拡大を防ぎ、証拠を保全し、正確な調査へつなげるための初動対応のポイントを解説します。
被疑サーバのネットワーク隔離
攻撃の拡大や外部送信を防ぐために、被疑サーバのネットワーク接続を一時的に遮断し、環境を凍結することが重要です。物理的な電源の切断は推奨されません。適切なネットワークの隔離方法は以下の通りです。
- ファイアウォールやスイッチで当該サーバを隔離
- VPNやSSHなどリモート接続経路も一時遮断
- OSの電源は落とさず、プロセスの状態を保持
証拠となるログ・ファイルの保全
不正アクセスやコード実行の痕跡はログやファイルに残っている可能性があります。これらを改変されない形で保全しておくことで、原因特定や法的証拠に活用できます。
- Web・システム・アプリケーションのログをバックアップ
- bash_historyやWebルートにある不審ファイルも保全
- 保全時にはハッシュ値（SHA256など）を記録
影響範囲の整理と初期対応の記録をとる
どのサービス・アカウント・データが影響を受けたかを整理し、初動で実施した操作も記録しておくことが、今後の調査や再発防止策に役立ちます。手順は以下の通りです
- サーバ名・IP・使用サービス・稼働アプリを一覧化
- 侵入疑いのタイミング・手口・対象範囲をメモ
- 復旧や遮断など初動で実施した操作を記録
フォレンジック調査会社に相談する
ここまで紹介したような初動対応や証拠保全は、サイバー攻撃への被害拡大を防ぎ、原因を正確に突き止めるための重要なプロセスです。
しかし実際には、専門知識や体制が整っていない企業も多く、社内対応だけで完結するのは困難な場合があります。
とくにReact2Shellのようなゼロデイ脆弱性が関与しているケースでは、ログの取り扱いやファイルの保全を誤ると、貴重な証拠が失われ、侵入経路の特定や再発防止策の策定が難しくなるおそれがあります。
このような場合には、デジタルフォレンジックの専門会社に早期に相談することが有効です。
フォレンジック調査では以下のような調査が科学的に行われ、客観性のある報告書としてまとめられます。
- サーバや端末に残されたログ・メモリ・ファイルの解析
- 実行されたコマンドや不正操作の痕跡の特定
- 改ざんや削除されたファイルの復元とタイムライン分析
- 被害範囲の可視化と、必要に応じた社外・行政対応の支援
また、フォレンジック調査の報告書は、経営層や法務部門への説明資料としてだけでなく、行政通報や訴訟対応における証拠資料としても活用できます。
自社だけで対応するのが難しいと判断した場合は、無理をせず、早い段階で専門家に相談することが、被害最小化の近道です。
編集部おすすめ調査会社：デジタルデータフォレンジック(おすすめ度)
こちらの業者は、相談件数が39,000件を超え、民間の調査会社でありながら官公庁や大手企業との取引実績も多く信頼できるため、幅広い調査に対応していておすすめです。もちろん法人だけでなく、個人のハッキングやサポート詐欺調査などの相談も受け付けています。
まずは無料で相談・見積りまで行ってくれるようなので、不安な方は一度相談してみるとよいでしょう。
| 費用 | ★見積り無料 まずはご相談ください |
|---|---|
| 調査対象 | PC、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など |
| サービス | 情報漏洩調査、ハッキング・不正アクセス調査、マルウェア・ランサムウェア感染調査、サイバー攻撃被害調査、退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、パスワード解除、データ改ざん調査、データ復元、デジタル遺品、離婚問題・浮気調査 など |
| 特長 | ✓累積ご相談件数39,451件以上 ✓国際基準をクリアした厳重なセキュリティ体制（ISO認証、プライバシーマーク取得済） ✓警視庁からの捜査協力依頼・感謝状受領の実績多数 |
デジタルデータフォレンジックは、国内トップクラスの調査力を有しており、累計3万9千件以上の豊富な実績があります。
規模が大きな調査会社でありながら、個人端末のハッキング調査、不正アクセス調査などの実績もあるようですし、24時間365日の相談体制、ニーズに合わせたプランのカスタマイズなど、サービスの利用しやすさも嬉しいポイントです。
ハッキング調査以外にも幅広い調査に対応しているだけでなく、ケースごとに専門チームが調査対応を行っているとのことで、高品質な調査が期待できます。さらに、警察への捜査協力も行っているなど、信頼がおける専門業者です
デジタルデータフォレンジックの評判を徹底調査|特徴・料金・依頼前の流れを解説＞
相談・見積りを“無料“で行っているので、まずは電話かメールで問合せをしてみることをおすすめします。
React2Shellの再発防止策
ゼロデイ脆弱性を悪用した攻撃は、再侵入や類似手口による被害拡大のリスクが高く、単一のパッチ対応では根本的な再発防止にはなりません。React2Shellを教訓に、以下のような技術的・組織的な再発防止策を講じることが求められます。
フレームワークと依存パッケージの定期的な棚卸し
Reactを含むWebアプリケーションの構成情報を常に把握し、既知の脆弱性が含まれていないか継続的にチェックできる体制を整えます。
- 使用中のOSS・フレームワーク・プラグイン一覧を構成管理
- 脆弱性情報DB（JVN/CVE/NVD）と自動照合
- CI/CDにSCA（ソフトウェア構成解析）ツールを組み込み
WAF/EDR/ログ監視による多層防御の強化
単一の対策に依存せず、Webアプリケーションファイアウォール（WAF）、EDR（エンドポイント検知）、SIEM（ログ分析）などを組み合わせた防御を構築します。
- SIEMでの定期アラートレビューと異常検知ルール整備
- WAFでOSコマンド注入パターンの検知ルールを整備
- EDRによる不審なプロセス・ファイルの検知設定
インシデント対応体制（CSIRT/SOC）の整備
脆弱性発覚や攻撃兆候に迅速に対応できるよう、社内外の関係者が連携できる体制（CSIRT/SOC）を整備することも再発防止に直結します。
- 緊急連絡体制と初動対応フローの明文化
- フォレンジック業者・クラウド事業者・法務との連携経路を確保
- インシデント対応演習（机上訓練）の定期実施
【サイバーインシデント緊急対応企業一覧】信頼性の高い企業を紹介＞
まとめ
最後に、本記事で解説した内容の要点を振り返ります。React2Shell（CVE-2025-55182）のような深刻な脆弱性に対応するためには、次のポイントを意識することが重要です。
- React2ShellはRCEを許すゼロデイ脆弱性で、改ざんや情報漏えいの原因となる
- 改ざんやログ異常などの不審な挙動を見逃さず、証拠保全を最優先に対応する
- WAF・EDR・CSIRT整備など、継続的なセキュリティ体制の強化が必要
- フォレンジック調査で侵入経路や被害範囲を科学的に特定することが有効
初動対応の遅れは、復旧の難易度やコストを増大させる要因になります。少しでも異変を感じたら、まずは状況を正しく整理し、必要に応じて外部の専門家に相談する判断が求められます。