Next.jsに重大な脆弱性｜16.4.1・15.5.28へのアップデートを推奨

Next.js公式は2026年10月14日、複数のセキュリティ脆弱性に対応するアップデートを公開しました。

今回のセキュリティアップデートでは、認証なしでリモートコード実行につながる可能性があるCriticalの脆弱性2件と、サービス拒否（DoS）につながるHighの脆弱性1件が修正されています。

Next.jsを利用しているWebサイトやWebアプリケーションでは、対象バージョンを確認し、早めに修正版へアップデートすることをおすすめします。

Next.js 16.4.1・15.5.28でセキュリティ脆弱性を修正

Next.js公式では、今回の問題に対応したバージョンとして以下を公開しています。

Next.js	修正版
Next.js 16系	16.4.1
Next.js 15.5系	15.5.28

Next.js 16.4.1はActive LTS、Next.js 15.5.28はMaintenance LTSとして提供されています。

公式では、アプリケーションの安全性を維持するため、Next.jsの依存関係を修正版へ更新するよう案内しています。

更新は、利用している系統に応じて以下のように行えます。

npm install next@15.5.28

または、

npm install next@16.4.1

「use cache」で認証なしのリモートコード実行につながる脆弱性

今回特に重要なのが、Next.js 16のCache Componentsに関する脆弱性です。

App RouterとCache Componentsを利用しているアプリケーションで、use cacheを指定した関数が複数のTypedArrayを返す場合、認証されていない第三者によってリモートコード実行が行われる可能性があります。

重要度はCriticalです。

Next.js公式では、影響を受けるアプリケーションについて既知の回避策はないとしており、該当する機能を使用していない場合でも直ちにアップデートするよう推奨しています。

GitHub Security Advisory：
https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr

Image Optimizationでもリモートコード実行の脆弱性

もう1件のCritical脆弱性は、Next.jsのImage Optimization APIに関するものです。

Next.jsが利用している上流ライブラリのメモリ関連の問題により、glibcベースのLinux環境でNext.jsを動作させている場合、SVG画像の処理を通じてリモートコード実行につながる可能性があります。

この脆弱性には、

CVE-2026-96889

が割り当てられています。

Next.js公式によると、回避策としてNext.jsで使用されるsharpを0.35.5以降にする方法があります。

ただし、Next.js 15.5.28または16.4.1へアップデートすれば、パッケージマネージャーによって修正版のsharpが利用されるようになるため、Next.js自体を更新する方法が推奨されます。

GitHub Security Advisory：
https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw

Server Actionsを利用したDoS攻撃の脆弱性も修正

今回のアップデートでは、App RouterのServer Actionsに関するHighレベルの脆弱性も修正されています。

App Routerを使用し、少なくとも1つのServer Actionを実装しているNext.jsアプリケーションに対して細工したリクエストを送信すると、CPU使用率が過度に上昇する可能性があります。

その結果、同じプロセスで他のリクエストを処理できなくなり、サービス拒否（Denial of Service）状態になる可能性があります。

一方、

• Pages Routerを利用している
• Server Actionsを利用していない

アプリケーションについては、この脆弱性の影響を受けないとされています。

GitHub Security Advisory：
https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r

2026年9月にも複数のNext.js脆弱性が公開

Next.jsでは、2026年9月30日にもセキュリティリリースが公開されています。

その際には、

• Image OptimizationにおけるSSRF
• SSG／ISRのキャッシュポイズニング
• Draft Modeの情報漏えい
• 開発サーバーのMCPエンドポイントにおける情報漏えい

など、複数の脆弱性が修正されました。

今回10月14日に公開されたアップデートは、上流ライブラリ側の修正を待つ必要があった問題などを含む、追加のセキュリティ対応となります。

Next.jsを利用している場合はバージョン確認を

Next.jsを利用している場合は、まず現在のバージョンを確認してください。

npm list next

package.jsonでも確認できます。

特に、

• Next.js 15系を利用している
• Next.js 16系を利用している
• App Routerを利用している
• Cache Componentsやuse cacheを利用している
• Server Actionsを利用している
• Next.jsのImage Optimizationを利用している

場合は、今回のアップデート内容を確認することをおすすめします。

また、Next.jsだけではなく、Reactやsharpなど関連する依存パッケージについても、ロックファイルを含めて更新状況を確認することが重要です。

Next.js 15.5.28または16.4.1以降へのアップデートを

今回のセキュリティアップデートには、リモートコード実行につながる可能性があるCriticalの脆弱性が2件含まれています。

特にuse cacheに関する脆弱性については、Next.js公式が「既知の回避策はない」として、早急なアップデートを推奨しています。

Next.jsを利用しているWebサイト・Webサービスでは、

• Next.jsの現在のバージョン確認
• 15.5.28または16.4.1以降への更新
• ビルド・動作確認
• 本番環境への再デプロイ
• 関連パッケージの更新状況確認

を行うことをおすすめします。

公式情報

Next.js「Next.js Security Update for Upstream Vulnerabilities」
https://nextjs.org/blog/nextjs-security-update-october-14-2026

Next.js Security Advisories
https://github.com/vercel/next.js/security/advisories

GHSA-673q-mjm6-r5xr
https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr

GHSA-2464-fhr4-w9xw / CVE-2026-96889
https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw

GHSA-p3m5-59mp-jv5r
https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r