【2024年9月版】Reactのバージョン情報とサポート期限

皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年9月27日に執筆しています。

今回はReact（リアクト）のバージョン情報とサポート期限についてまとめてみたいと思います。

ReactはMeta社（旧Facebook）が開発・サポートを継続している、オープンソースのJavaScriptライブラリです。

W3Techsによれば、Reactは2024年8月1日以降に急成長したJavaScriptライブラリで1位となっており、いわゆるWeb制作の現場でもフロントエンド開発において主力となりつつあります。

JavaScriptライブラリにも脆弱性が見つかります。
そのため、安全で円滑なWebサイトの運用のためには、Reactについても最新バージョンへのアップデートが欠かせません。

この記事では、企業のWeb担当者の皆様に向けて、Reactのバージョン情報とサポート期限についてまとめた上で、Reactの脆弱性についてもご紹介したいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

2024年9月現在、React（リアクト）の最新バージョンは18.3.1です。

公式がアクティブサポートをしているのは最新バージョンのみですが、セキュリティサポートは古いバージョンにも提供されています。

アクティブサポート期間とは、最新のマイナーバージョンにおいて提供されるサポートで、セキュリティパッチの提供はもちろんのこと、重要ではない不具合の修正や新機能が提供も行われる期間です。
Reactではアクティブサポート期間は、リリース日から何年といったルールはなく、次のメジャーバージョンないしマイナーバージョンが提供されるまでとなります。

セキュリティサポート期間とは、脆弱性に対するセキュリティパッチが提供される期間で、基本的には最新のマイナーバージョンのみではなく、過去の各メジャーバージョンにおける最新マイナーバージョンにもバックポートで提供されています。
しかしながら、過去のバージョンへのバックポートについては、セキュリティ上特に重要なものに限られるほか、期間についても保証されているわけではない点に注意が必要です。

Reactの各バージョンについてのリリース日とサポート期限は次の通りです。

※React 0.xについては古いバージョンであるため割愛しております。

Reactはフロントエンド開発で利用するJavaScriptライブラリであり、同じJavaScriptライブラリであるjQueryと比較し、脆弱性が入る余地の少ない構造となっているため、報告されている脆弱性は比較的少なめとなっております。
Reactで開発したアプリケーションに影響を与える脆弱性情報で、当社が把握しているものは次の通りです。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。本記事では、CVSS v3にて緊急（9.0～10.0）、重要（7.0～8.9）に区分されるもののみを掲載しており、その他の情報については、JVN iPediaなどでご確認ください。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。
※原則としてJVNのページを正としていますが、JVNに掲載されていない情報などについてはNVDのサイトを参照しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

前述のように、Reactは近年急激にシェアを伸ばしているJavaScriptライブラリであり、いわゆるWeb制作の現場でもVue.jsと並んで主力となりつつあります。

しかしながら、自社内でバージョンアップを行うにも属人化が発生してリソースが足りなくなったり、管理するWebサイト・Webシステムの数が増え、あるいはWebサイト等の規模が大きくなるにつれて社内での対応が困難になることがあります。