React의 Server Components 패키지에서 인증 없는 원격 코드 실행에 이를 수 있는 역직렬화 결함의 해설입니다. 무엇이 일어나는지, 누가 영향을 받는지, 어떻게 대응하는지를 방어하는 쪽의 관점에서, 공격 절차 없이 다룹니다.
- CVE
- CVE-2026-126187(GHSA-xqc2-xf4c-x3h3. React: Unauthenticated Remote Code Execution in React Server Components)
- 심각도
- CVSS v4.0 9.5(Critical. 벡터 AV:N/AC:L/AT:P/PR:N/UI:N. GitHub가 부여). NVD 분석은 2026년 11월 11일 현재 대기 중
- 유형
- 신뢰할 수 없는 데이터의 역직렬화(CWE-502)
- 영향
- 조작된 페이로드를 통한 인증 없는 원격 코드 실행. 권고는 응답이 여러 개의 형식화 배열과 공격자가 제어하는 값을 함께 전달하는 극히 드문 경우에만 영향이 있다고 밝힘
- 영향 대상
- react-server-dom-webpack, -parcel, -turbopack의 19.0.0부터 19.0.8, 19.1.0부터 19.1.9, 19.2.0부터 19.2.8, 19.3.0
- 수정
- 19.0.9 / 19.1.10 / 19.2.9 / 19.3.1(2026년 10월 14일 릴리스)
- 공개
- 2026년 11월 10일(CVE와 GitHub 권고)
- 악용
- 악용 보고 없음. 2026년 11월 12일 현재 KEV에 없음
방치할 때의 위험
인증이 필요 없고, 성공하면 서버에서 코드가 실행됩니다(기밀성, 무결성, 가용성에 대한 영향이 큼). 좁은 조건이 도움이 되지만, 인터넷에 노출된 서버의 결함은 공개된 뒤 검증되는 경향이 있습니다. 공개된 수정 버전으로 올리는 일은 작은 작업이므로, 이 사이트는 조건이 엄격하다는 이유로 미룰 이유가 거의 없다고 봅니다.
어떤 취약점인가
GitHub 권고에 따르면 React Server Components를 지원하는 프레임워크를 노린 조작된 페이로드로 원격 코드 실행에 이를 수 있습니다. CWE-502(신뢰할 수 없는 데이터의 역직렬화)로 분류됩니다.
- 인증이 필요 없고(PR:N), 네트워크로 작동하며, 사용자 상호작용이 필요 없습니다(UI:N).
- 권고는 응답이 여러 개의 형식화 배열과 공격자가 제어하는 값을 함께 전달하는 극히 드문 경우에만 영향이 있다고 밝힙니다. CVSS v4 벡터의 AT:P(공격 요구 사항 있음)는 이 한정을 반영한 것으로 보입니다(이 사이트의 해석).
- Server Components는 React 코드를 서버에서 실행합니다. 결함은 그 통신을 처리하는 패키지에 있습니다.
- 권고는 페이로드를 어떻게 만드는지나 정확한 조건을 설명하지 않으며, 이 사이트도 설명하지 않습니다.
- 이 메커니즘에서는 이전에도 심각한 결함이 나온 적이 있습니다. Next.js와 React 취약점 개관을 참고하세요.
영향 범위
| 항목 | 내용 |
|---|---|
| 패키지 | react-server-dom-webpack / react-server-dom-parcel / react-server-dom-turbopack |
| 영향받는 버전 | 19.0.0부터 19.0.8 / 19.1.0부터 19.1.9 / 19.2.0부터 19.2.8 / 19.3.0 |
| 수정 버전 | 19.0.9 / 19.1.10 / 19.2.9 / 19.3.1 |
| 영향을 받지 않음 | React 코드가 서버를 쓰지 않는 앱, Server Components를 지원하는 프레임워크, 번들러, 플러그인을 쓰지 않는 앱(권고 기준) |
| 회피책과 완화책 | 권고에서 찾지 못함 |
| Next.js | 공식 성명을 찾지 못함. 의존성의 react-server-dom-* 버전을 확인할 것 |
- 버전 범위는 GitHub 권고 본문을 따랐습니다. CVE 레코드(GitHub가 등록)는 버전 표기가 다르고 본문에 오타가 있어서, 수정 버전 번호를 권고 본문과 React 릴리스로 교차 확인했습니다.
- 세 패키지는 번들러(webpack, Parcel, Turbopack)에 따라 설치됩니다. 둘 이상이 있다면 모두 확인하세요.
영향받는지 확인하는 방법
Server Components를 쓰는지 확인
Next.js App Router처럼 Server Components를 지원하는 프레임워크를 쓰는지 확인하세요. 브라우저에서만 React를 실행하는 앱은 권고에 따라 영향을 받지 않습니다.
잠금 파일에서 react-server-dom-* 버전 확인
package-lock.json, pnpm-lock.yaml, yarn.lock에서 react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack을 검색해 버전이 위의 영향 범위에 들어가는지 확인하세요. 직접 설치하지 않았더라도 프레임워크의 의존성으로 들어 있을 수 있습니다. 의존성 점검을 자동화하려면 osv-scanner로 의존성 감시하기를 참고하세요.
프레임워크 버전 확인
Next.js 같은 프레임워크는 react-server-dom-*를 직접 번들하거나 고정할 수 있습니다. 프레임워크의 공식 릴리스 노트와 권고에서 이 CVE에 대한 대응이 있는지 확인하세요. 2026년 11월 12일에 확인했을 때 Next.js의 공식 성명은 찾지 못했습니다.
오늘 해야 할 일
react-server-dom-*를 수정 버전 이상으로 올리기(최우선)
쓰고 있는 릴리스 라인에 맞춰 19.0.9, 19.1.10, 19.2.9, 19.3.1 이상을 쓰세요. 직접 의존성이라면 패키지 버전을 올리고 잠금 파일을 갱신하세요.
프레임워크를 거친다면 프레임워크의 업데이트를 지켜보기
프레임워크가 내부에서 버전을 고정한다면 프레임워크의 업데이트를 기다리거나 공식 안내를 따르세요. 안내가 없는 동안은 의존성 버전을 직접 확인하고, 필요하면 유지 관리자에게 문의하세요. 의존성 오버라이드는 프레임워크가 여전히 작동하는지 시험한 뒤에만 쓰세요.
업데이트 후 테스트하고 배포
Server Components 페이지와 Server Actions을 확인한 뒤 배포하세요. 업데이트 후 잠금 파일의 버전을 다시 확인하세요.
로그 점검
업데이트 전의 Server Components 엔드포인트에 대한 수상한 요청과 예상치 못한 서버 오류를 찾아보세요. 악용은 보고되지 않았지만, 확인할 수 있는 증거는 로그뿐입니다.
악용 상황
- 권고도 CVE 레코드도 악용을 언급하지 않습니다.
- 이 CVE는 CISA의 KEV 카탈로그에 없습니다(KEV 버전 2026.11.10, 2026년 11월 12일 확인).
- NVD는 「Received」로 표시되며 아직 분석하지 않았습니다. CVSS v4 점수 9.5는 GitHub(CNA)가 부여한 것입니다.
- 수정 릴리스(10월 14일)는 CVE와 권고(11월 10일)보다 약 4주 앞섰습니다. 릴리스 노트는 전송 프로토콜의 개선만 설명하며 취약점 수정이라고는 밝히지 않습니다.
출처
- GitHub — GHSA-xqc2-xf4c-x3h3 React: Unauthenticated Remote Code Execution in React Server Components(영향받는 버전과 수정 버전, 영향을 받지 않는 조건, CVSS v4 9.5)
- React — React 저장소의 보안 권고
- React — v19.2.9 릴리스(19.0.9, 19.1.10, 19.3.1도 같은 날 릴리스)
- CVE.org — CVE-2026-126187(2026년 11월 10일 공개)
- NVD — CVE-2026-126187(Received)
- Next.js — vercel/next.js 보안 권고(이 CVE에 대한 언급은 찾지 못함)
Next.js 등 프레임워크에 대한 영향은 공식 성명을 찾지 못했으므로 단정하지 않습니다. 최종 확인: 2026년 11월 12일.
이어서 읽기
- 개관: Next.js와 React 취약점 한눈에 보기 / Next.js를 안전하게 운영하기
- 실천: 취약점 대응 플레이북 / osv-scanner로 의존성 감시하기
- 판단: CVSS, EPSS, KEV로 우선순위 정하기
- 용어: RCE란? / CVSS란?