Next.jsに重大な脆弱性、16.3.3／15.5.24への更新を推奨
Next.jsは2026年8月25日、2件のCritical（重大）レベルの脆弱性を修正するセキュリティアップデートを公開しました。対象となる場合、認証なしでリモートから任意のコードを実行される可能性があるため、Next.js公式ではNext.js 16.3.3または15.5.24への速やかなアップデートを推奨しています。
2件の重大な脆弱性を修正
今回修正された主な脆弱性は以下の2件です。
AVIF画像の最適化処理に関する脆弱性
Next.jsのImage Optimization APIで使用されているライブラリ「libheif」の問題により、攻撃者が用意したAVIF画像を最適化した場合、リモートコード実行につながる可能性があります。
影響を受けるNext.jsのバージョンは、
- Next.js 10.0.0以上、15.5.24未満
- Next.js 16系の16.3.3未満
です。修正版では、関連ライブラリ側の修正が反映されるまで、AVIF画像の最適化機能が無効化されています。
Windowsサーバーでのリモートコード実行
もう1件は「CVE-2026-75604」として公開されている脆弱性です。Windowsファイルシステム上でNext.jsを動作させ、Pages RouterとApp Routerの両方を利用し、Cache Componentsを使用していない構成の場合に影響を受ける可能性があります。
影響範囲は、
- Next.js 13.4以上、15.5.24未満
- Next.js 16.0以上、16.3.3未満
です。こちらについては有効な回避策がないため、該当する環境ではアップデートが必要です。
推奨される対応
Next.jsを利用しているWebサイトやWebアプリケーションでは、現在のバージョンを確認し、
- Next.js 16系 → 16.3.3以降
- Next.js 15系 → 15.5.24以降
へのアップデートをおすすめします。Next.js 16はActive LTS、15はMaintenance LTSとして現在サポートされています。アップデート後は、依存パッケージの更新だけでなく、再ビルド・再デプロイを行い、本番環境で実際に修正版が稼働していることも確認しておきましょう。
Jamstack・ヘッドレスCMSサイトでも確認を
Next.jsは、ヘッドレスCMSやJamstack構成のWebサイトでも広く利用されています。WordPressをヘッドレスCMSとして利用しているサイトや、API連携型のWebサイトなどでもNext.jsがフロントエンドとして使われているケースがあります。
今回の脆弱性は深刻度がCriticalとされているため、Next.jsを利用しているサイトでは早めにバージョン確認を行うことをおすすめします。
