Vercel、Next.jsの重大な脆弱性2件を修正 対象版と設定の確認を

シンガポール サイバーセキュリティ庁(CSA／SingCERT)は、Next.jsの重大な脆弱性2件について注意喚起しました。Vercelは対応するセキュリティ更新を公開しており、対象環境では、認証なしで外部からコードを実行される恐れがあります。注意喚起の公表日は、提供された資料には記載されていません。

2件の脆弱性は、機能とOSで対象が異なる

1件目の識別番号は「GHSA-673q-mjm6-r5xr」です。発表時点では、脆弱性を識別するCVE IDは付与されていません。

対象は、App RouterとCache Componentsを使うアプリです。そのうち、複数の型付き配列を返す「use cache」関数を使用することが発生条件とされています。Next.jsの利用有無だけでなく、アプリ内でどの機能をどう使っているかまで確認する必要があります。

もう1件は「CVE-2026-96889」です。対象は、glibcベースのLinux上で動くNext.jsです。画像最適化に使う上流ライブラリの、メモリーに関する問題が原因とされています。こちらは、アプリの機能だけでなく、稼働するOSの確認も欠かせません。

CSAによると、どちらも認証不要の遠隔コード実行につながる恐れがあります。深刻度を示すCVSS v4.0のスコアは、いずれも10点満点中9.5です。

対象版は16.4.1未満、旧系列は15.5.28未満

影響を受けるバージョンとして、Next.js 16.xでは16.4.1未満、Next.js 10.x～15.xでは15.5.28未満が挙げられています。

バージョンの照合と、各脆弱性の発生条件の確認は分けて進めると整理しやすくなります。対象版が見つかった場合は、1件目についてApp Router、Cache Components、「use cache」関数の使い方を確認します。2件目については、稼働環境がglibcベースのLinuxかを確認します。一方の条件に当てはまらないことだけで、もう一方も対象外とは判断できません。

CSAは、対象製品の利用者と管理者に対し、直ちに最新版へ更新するよう勧告しています。日本での提供は発表には書かれていません。

影響する会社・しない会社

• 影響する: 対象バージョンのNext.jsで、App RouterとCache Componentsを使い、複数の型付き配列を返す「use cache」関数を使用するアプリを運用する会社です。
• 影響する: 対象バージョンのNext.jsを、glibcベースのLinux上で運用する会社です。社内だけで構成を把握できない場合は、開発担当や委託先への確認が必要です。
• 影響しない: Next.jsを使っていないシステムは、今回のNext.jsの更新対象ではありません。ただし、自社サイトや業務アプリでの利用有無が不明な段階では、対象外と判断しないでください。

情シスが今日やること

1. 開発担当と運用委託先に利用状況を照会します。 Next.jsを使うシステム名と、実際に稼働しているバージョンを回答してもらいます。社内で把握できる範囲だけで確認を終わらせず、管理を任せているシステムも確認先に含めます。
2. 対象版があれば、2件の条件を別々に確認します。 開発担当にはApp Router、Cache Components、「use cache」関数の使用状況を、運用担当にはglibcベースのLinuxかどうかを確認してもらいます。未確認の項目は、対象外ではなく未確認として残します。
3. 対象と分かったら、直ちに更新対応を依頼します。 CSAの勧告を開発・運用の責任者に伝え、最新版への更新担当者と実施予定を決めます。委託している場合も、依頼の送付だけでなく、実施予定の回答まで確認します。
4. 更新後は、稼働版と完了報告を照合します。 開発担当や委託先から、対象システム、更新後のバージョン、作業完了の報告を受け取ります。未対応のシステムは一覧に残し、対応状況を責任者と共有します。