多くのWebアプリやサイトの土台として使われるフレームワーク「Next.js」に、遠隔からコードを実行されうる重大な脆弱性が公表されました。Next.jsの開発元(Vercel)が公式のセキュリティ情報で公開したもので、2件の重大(Critical)なRCE(遠隔コード実行)と、1件の高リスクのサービス妨害(DoS)が修正されています。
何が見つかったのか
Next.jsの公式情報によると、今回の主な内容は次のとおりです。
- SVG画像の最適化でのRCE(GHSA-2464-fhr4-w9xw・CVE-2026-96889): 画像最適化のAPIで、SVGファイルを扱うときに起こる、認証なしの遠隔コード実行です。SVGを処理するライブラリ(librsvg)のメモリの問題に由来し、影響を受ける範囲が最も広いとされます。
- キャッシュ機能(use cache)でのRCE(GHSA-673q-mjm6-r5xr): Next.js 16のキャッシュ機能が、特定の配列データ(typed arrays)を返すときに起こる、認証なしの遠隔コード実行です。
- Server ActionsでのDoS(GHSA-p3m5-59mp-jv5r): App RouterでServer Actionsを使うときの、高リスクのサービス妨害です。
Next.jsの公式セキュリティ情報(GitHub Security Advisories)出典: Vercel(Next.js)(引用)
2件のRCEは、いずれもCVSS v4.0で9.5と評価されています。報道によると、条件がそろうと、攻撃者はログインなしで、サイトのサーバー上でコードを実行できる可能性があるとされます。修正版はNext.js 15.5.28と16.4.1で、公式は速やかな更新を呼びかけています。
影響を受けるのはどんな環境か
関係するのは、Next.jsで作られたWebアプリやサイトを運用している組織です。Next.jsは、自社サイト、会員サイト、社内向けのWebアプリ、ECサイトなど、幅広く使われています。自社で開発したものだけでなく、ベンダーに作ってもらったアプリでも、Next.jsが使われていれば対象になりえます。とくに、画像の最適化(SVGを含む)、キャッシュ機能(use cache)、Server Actionsを使っている構成では、影響を受けやすくなります。
情シスが今日やること
- Next.jsの利用と版を確認する: 自社やベンダーが作ったWebアプリ・サイトで、Next.jsを使っているか、使っているなら版はいくつかを確認します。
package.json や、依存関係の一覧で確認できます。
- 修正版へ更新する: 15.5.28または16.4.1以降へ更新します。更新後は、サイトやアプリが正常に動くかを確認します。
- 委託先に確認する: Webサイトやアプリの開発・運用を外部に任せている場合は、Next.jsを使っていないか、使っているなら更新の予定を、委託先に確認します。
- 公開しているものから優先する: インターネットに公開しているサイトやアプリから優先して対応します。画像最適化やキャッシュ、Server Actionsを使っている構成は、とくに急ぎます。
Next.jsは、今や多くのWebサービスの土台です。遠隔コード実行は、サーバーの乗っ取りにつながりうる重い問題のため、悪用が広がる前に、対象の有無を確かめ、修正版へ早めに更新しておくことが大切です。自社だけでなく、委託先が作ったものも忘れずに確認しましょう。
