Vercelは2026年10月14日、Webアプリケーションフレームワーク「Next.js」に関する臨時セキュリティ更新を公開しました。今回の更新では、認証なしでリモートからコードを実行される恐れがある2件の極めて深刻な脆弱性と、サービス妨害（DoS）を引き起こす1件の高深刻度な脆弱性が修正されています。開発元であるVercelはコード実行の脆弱性に対しCVSSスコア9.5の深刻度を付与しており、サポート対象バージョンであるNext.js 16.4.1および15.5.28への速やかなアップデートが強く推奨されています。
この記事のポイント
影響のあるシステム
- Next.js 16系（16.4.1未満）
- Next.js 15系（15.5.28未満）
- React Server Components関連パッケージ（react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack）のバージョン19.0.0から19.3.0
- glibcベースのLinux環境で動作し、危険なSVG最適化設定（dangerouslyAllowSVG）やnext/ogをNode.js環境で使用しているNext.jsアプリケーション
- App Routerを採用しServer Actionsを定義しているNext.jsアプリケーション
推奨される対策
- Next.js 16系を利用している環境はNext.js 16.4.1へ、15系を利用している環境はNext.js 15.5.28へ更新し、再ビルドと再デプロイを実施する
- Next.js 15系をアップデートした場合、npm ls sharp コマンド等で画像処理ライブラリsharpのバージョンが0.35.5以上になっているか確認し、古い場合は更新する
- 直ちにNext.js本体の更新が困難な場合、sharpを0.35.5以降に更新するか、sharpの設定でSVGレンダリングの処理を無効化する暫定措置を検討する
専門用語
RCE（リモートコード実行）：攻撃者がネットワーク経由で対象サーバーに不正な命令を送り、任意のプログラムやコマンドを遠隔から実行させてしまう極めて危険な脆弱性です。
CVE-2026-96889：SVG画像の処理ライブラリであるlibrsvgに存在するメモリ破壊の脆弱性です。Next.jsが依存する画像処理モジュールsharpを介して影響を受ける可能性があります。
Server Actions：Next.jsのApp Router環境で提供される機能で、クライアント側からサーバーサイドで動作する非同期関数を直接呼び出す仕組みです。
キャッシュ機能と画像処理に潜む2件の深刻なRCE脆弱性
公開されたセキュリティ情報によると、今回の更新で修正された2件のリモートコード実行（RCE）の脆弱性は、いずれもVercelからCVSSスコア9.5と評価されており、認証を必要とせずに悪用される危険性があります。
1つ目の問題はReact Server Componentsの実装に起因するものです。Next.js 16環境においてCache Components機能を有効にし、複数の型付き配列（typed arrays）を返却するuse cache関数が存在する場合に、細工された入力によってコード実行に至る恐れがあります。React側の公式アドバイザリでは極めて限定的な状況で発生すると説明されていますが、該当する関数が存在する場合の回避策は提供されておらず、Vercelは使用状況にかかわらずアップデートを行うよう求めています。
2つ目のRCE脆弱性は、SVG画像を処理する外部ライブラリ「librsvg」に存在するメモリ関連の不具合（CVE-2026-96889）に由来します。Next.jsが画像最適化のために内包しているsharpパッケージを通じて到達可能となっており、glibcベースのLinux環境で稼働しているサーバーにおいて、細工されたSVGファイルやソーシャルプレビュー生成機能（next/og）を介して悪用されるリスクが報告されています。
参考：GitHub「Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays · Advisory · vercel/next.js · GitHub」、GitHub「Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used · Advisory · vercel/next.js · GitHub」
App Router環境におけるCPU枯渇によるサービス妨害の脅威
リモートコード実行の脆弱性に加え、App Routerの設計に関連する高深刻度のサービス妨害（DoS）の脆弱性も同時に修正されました。この問題は、サーバー側で関数を実行するServer Actionsを少なくとも1つ定義しているWebアプリケーションが対象となります。
攻撃者が悪意を持って細工したリクエストをサーバーへ送信すると、単一のサーバープロセスのCPU使用率が100パーセント近くまで跳ね上がり、そのプロセスが後続の正規リクエストを一切処理できなくなります。従来のPages Routerを使用している環境や、Server Actionsを一切利用していないアプリケーションではこの影響は受けないとされています。
このサービス妨害の不具合についても、コードの書き換え等による一時的な回避策は存在せず、バージョンアップによる修正プログラムの適用が唯一の根本的な解決策となっています。業務で利用する公開Webサイトが停止する重大な可用性リスクとなるため、App Routerを採用しているシステムでは早急な対応の検討が求められます。
参考：GitHub「Denial of Service in App Router using Server Actions · Advisory · vercel/next.js · GitHub」
影響の有無とアップデート時の注意点および推奨対策
現時点（2026年10月15日）において、今回報告された3件の脆弱性が実際の攻撃で悪用されたという公開情報は確認されていません。しかしながら、過去の関連不具合に対する実証コード（PoC）が公開されている事例もあり、迅速な対処が不可欠です。
対策としては、現在運用しているバージョンに応じて以下の手順を実施する必要があります。
- Next.js 16系を運用している場合は、バージョン16.4.1へ更新した上でアプリケーションを再ビルドし再デプロイする
- Next.js 15系を運用している場合は、バージョン15.5.28へ更新する
- Next.js 15系では依存関係として古いsharp 0.34系が残存する可能性があるため、パッケージ確認コマンドを実行しsharpが0.35.5以上であることを確認する
- 直ちにフレームワーク全体の更新ができない場合、画像関連の脆弱性に対してのみsharpライブラリの手動更新やSVG読み込み遮断設定を暫定措置として適用する
キャッシュ関連のRCEおよびServer ActionsのDoS脆弱性については、依存関係監視ツール（npm auditなど）に未登録となっている場合があるため、脆弱性スキャナーの警告が出ない場合でも手動で利用バージョンの棚卸しを行い、確実に修正バージョンを適用してください。
参考文献・記事一覧
- The Hacker News「Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing」
- GitHub「Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays · Advisory · vercel/next.js · GitHub」
- GitHub「Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used · Advisory · vercel/next.js · GitHub」
- GitHub「Denial of Service in App Router using Server Actions · Advisory · vercel/next.js · GitHub」
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
