Next.jsが臨時のセキュリティ更新、未認証RCE2件を修正
Next.js脆弱性RCEReactアップデート
Next.jsは10月14日、上流依存ライブラリ由来の脆弱性に対応する臨時のセキュリティ更新としてv16.4.1とv15.5.28を公開した。重大度Criticalの未認証リモートコード実行が2件、HighのDoSが1件。use cache関連の脆弱性には回避策がなく、該当しないアプリも即時のアップグレードが推奨されている。
何が発表されたか
- Next.jsは2026年10月14日、上流依存ライブラリ由来の脆弱性に対応する臨時（out-of-band）のセキュリティ更新を公開した。対象はv16.4.1（Active LTS）とv15.5.28（Maintenance LTS）。
- 9月のセキュリティリリースから、上流の依存関係の遅れで延期されていた修正2件が含まれる。
- 修正された脆弱性は次の3件。
use cache関数が型付き配列を返す場合の未認証RCE（Critical）
- GHSA-673q-mjm6-r5xr。App RouterとCache Componentsを使うアプリで、
use cache関数が複数の型付き配列を返すと、未認証のリモートコード実行につながる。 - React側の上流アドバイザリGHSA-xqc2-xf4c-x3h3に関連。
- 公式は「影響を受けるアプリに既知の回避策はない」としている。
Image Optimization APIでSVGを扱う際の未認証RCE（Critical）
- CVE-2026-96889 / GHSA-2464-fhr4-w9xw。画像最適化に使う上流ライブラリのメモリ関連の問題で、glibcベースのLinux上で動作している場合にRCEに至る。
Server Actionsを使うApp RouterでのDoS（High）
- GHSA-p3m5-59mp-jv5r。細工したリクエストでCPUを過剰に消費させ、同一プロセス内の後続リクエストの処理を止める。Pages Routerのみ、またはServer Actionsを使っていないアプリは影響を受けない。
取るべき対応
- Next.jsを使っているプロジェクトは、まず利用中のバージョンを確認する。
- 16.4系は
npm install [email protected]、15.5系はnpm install [email protected]にアップグレードする。 use cacheの件について、公式は該当する関数を持たないアプリでも即時のアップグレードを推奨している。「自社のコードには当てはまらない」と判断して先送りにしない。- すぐにバージョンを上げられない場合、Image Optimizationの件はNext.jsが使う
sharpを0.35.5以降にすることが回避策として示されている。パッチ版へ上げれば、パッケージマネージャが修正済みのsharpを自動的に入れる。 - DoSの件は、Pages Routerのみ、またはServer Actionsを使っていない構成なら対象外。対応の優先順位をつける際の切り分けに使える。
- 依存関係を更新したうえで再デプロイするまで修正は反映されない。制作案件として納品済みのサイトを含め、保守対象の棚卸しをしておきたい。