React Server Components 曝未认证 RCE，官方推 19.3.1 及多条回移版本

《This Week In React》第 302 期（2026 年 10 月 23 日）把本周标成「安全周」：React 与 Next.js 均有补丁，并直接写上 Upgrade now。摘要称 React Server Components 存在未认证远程代码执行风险，已在 React 19.3.1 以及 19.0.9、19.1.10、19.2.9 等回移版本中修复；同期还修了一处 Server Functions 的拒绝服务（DoS）。周刊未公开利用细节，运维侧应按发行说明做版本核对，而不是等「有没有人打到我」再动。[1]

版本对齐可以按线来看。仍跑在 19.0 / 19.1 / 19.2、又启用了 RSC 或 Server Functions 的服务，优先升到对应回移号；已经跟 19.3 线的，核对是否到了 19.3.1。Next.js 侧，周刊写明 RCE 影响返回多个 typed array 的 "use cache" 函数，请升到 16.4.1 或 15.5.28。这两个框架版本还顺带修了经 SVG 图像触发的 sharp 相关严重 RCE，因此镜像重建时不要只改 react 包名、却把旧 sharp 留在依赖树里。[1]

落地时建议分三步：第一，锁文件里确认 react、react-dom、next 与相关 RSC 包已到安全版本；第二，CI 与生产镜像同源重建，避免「开发机升了、线上镜像还是旧层」；第三，对外暴露 Server Actions / Server Functions 的入口做一次冒烟，确认缓存函数返回形态没有踩到 typed array 相关路径。周刊同期还提到无关但严重的 PHP「php2shell」披露——若同一仓库或同一主机还跑 PHP，应另开维护窗口，不要和本次 React 补丁混成一次「以为都修好了」的发布。对前端安全值班来说，本周优先顺序就是：先 RSC 与 Next，再看同机其他运行时。[1]

若暂时无法立刻发版，至少应限制 Server Functions 的外网暴露面，并盯官方后续 advisory；一旦补丁包可用，优先走热修通道而不是并进大功能发布。

来源

[1] This Week In React #302，2026年10月23日，查询日 2026-10-28。

#React #RSC #19.3.1 #Next.js #安全更新