脆弱性·重大

Next.js：リモートコード実行につながる重大な脆弱性が 2 件

修正ありサイト運営者に影響

Next.js, sharp

あなたへの影響

あなたへの目に見える影響はありません。サイト運営者は更新が必要です。

ウェブサイト作成で広く使われているフレームワークの Next.js が、攻撃者にサーバーを乗っ取られかねない重大な脆弱性 2 件と、サイトを応答不能にしうる 1 件を修正しました。閲覧者は何もする必要はありません。Next.js を使うサイトの運営者はアップデートしてください。

発生 2026年10月14日更新 2026年10月14日

どうすればいい？

あなた: 対応は不要です。
ウェブサイトやアプリを運営している場合: next を 16.4.1（16.x）または 15.5.28（15.x）にアップグレードし、再デプロイしてください。use cache の脆弱性に回避策はありません。すぐにアップグレードできない場合は、Next.js が使う sharp のバージョンが 0.35.5 以降であることを確認してください。

修正あり · 2026年10月14日
Next.js 16.4.1 と 15.5.28 が公開されました。型付き配列を返す use cache 関数における認証不要のリモートコード実行（GHSA-673q-mjm6-r5xr）、glibc の Linux で SVG を扱う画像最適化 API のリモートコード実行（CVE-2026-96889）、Server Actions のサービス拒否（GHSA-p3m5-59mp-jv5r）が修正されています。
nextjs.org
原因特定 · 2026年10月8日
Next.js が、上流の依存関係にある重大 2 件と高リスク 1 件を対象とする臨時のセキュリティ更新を 10 月 14 日に行うと発表しました。
nextjs.org