Next.jsチームは、App Router、Server Actions、リライト、画像最適化、キャッシュ、ミドルウェアのデプロイに影響する9件の脆弱性を修正するセキュリティアップデートをリリースしました。
これらのアップデートは、サーバーサイドリクエストフォージェリ(SSRF)、認証バイパス、サービス拒否(DoS)、キャッシュ経由のデータ漏洩、Server Function エンドポイントの偵察につながりかねない高・中程度の深刻度の脆弱性を修正するものであり、組織には直ちにNext.jsバージョン15.5.21または16.2.11へアップグレードすることが強く推奨されています。
ネットワークセキュリティ
Next.jsが9件のセキュリティ脆弱性を修正
最も深刻な脆弱性の一つがCVE-2026-64645で、`rewrites()`および`redirects()`設定におけるSSRFの欠陥です。この脆弱性により、ユーザーが制御可能な値を用いて外部の宛先ホスト名を設定できてしまいます。
攻撃者は本来意図されたサフィックスを超えてホスト名を操作できるため、脆弱なNext.jsサーバーが攻撃者の選んだ宛先や内部ネットワークの場所へリクエストをプロキシしてしまう可能性があります。
`rewrites`がSSRFを引き起こしうる一方で、同様に安全でないリダイレクトはオープンリダイレクトの状態を生み出す可能性もあります。直ちにパッチを適用できないチームは、信頼できない入力から外部の宛先ホスト名を組み立てることを避け、動的なホストセグメントを[a-z0-9-]+のような安全な文字に制限すべきです。
もう一つの問題であるCVE-2026-64649は、カスタムサーバー上にデプロイされたServer Actions、または受信するHost関連ヘッダーが信頼できるオリジンに対して保護されていない設定に影響するSSRFの経路をもたらします。場合によっては、この脆弱性によりミドルウェアやプロキシの認可に関わる内部の値が露出する可能性があります。
ホストをアップストリームで保護しているマネージドホスティング環境は影響を受けません。ただし、自己ホスト型のチームは、エッジでHostおよびX-Forwarded-Hostヘッダーを検証し、該当する場合は固定のプライベートオリジンを設定すべきです。
今回のリリースではさらに、CVE-2026-64642も修正されています。これは、Turbopackでコンパイルされ、単一の`i18n.locales`エントリを使用しているApp Routerアプリケーションに影響する、深刻度の高いミドルウェア・プロキシ回避の脆弱性です。
悪意を持って細工されたリクエストにより、ミドルウェアベースの認証やセキュリティチェックが回避される可能性があります。さらに、CVE-2026-64641は、少なくとも1つのServer Actionを公開しているApp Routerアプリケーションで過剰なCPU消費を引き起こし、同じプロセスが処理する以降のリクエストをブロックしてしまう可能性があります。
中程度の深刻度を持つ3件の脆弱性は、データ処理と可用性に影響を及ぼします。CVE-2026-64648とCVE-2026-64647は、リクエストボディを伴うサーバーサイドのfetch処理におけるキャッシュ混同に関連しており、異なるリクエストのキャッシュ済みレスポンスボディが返され、機密性の高いPOSTレスポンスのデータが漏洩する可能性があります。
後者のケースは、特に不正なUTF-8処理に関する問題を伴います。CVE-2026-64646は、Edgeランタイムにおいて上限のないServer Actionのペイロードにより、過剰なメモリ消費を引き起こす可能性があります。
CVE-2026-64643は、App RouterのServer Actionsおよびキャッシュエンドポイントの識別子を、認証されていないユーザーに対して露出させてしまいます。これにより、連鎖的な攻撃に有用な偵察手段が生まれます。
CVE-2026-64644は、許可されたリモート画像を用いたデフォルトの画像最適化APIを使用する自己ホスト型のデプロイに影響し、悪意のあるSVGコンテンツにより/_next/imageエンドポイントでCPU枯渇を引き起こす可能性があります。Vercelでホストされているアプリケーション、カスタム画像ローダー、および`images.unoptimized: true`が設定されたデプロイは、この画像関連の脆弱性の影響を受けません。
CVEの詳細
コンピューターセキュリティ
| CVE | 深刻度 | 脆弱性 | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|---|---|
| CVE-2026-64641 | 高 | App Router Server ActionsにおけるDoS | >=13.0.0 から <15.5.21; >=16.0.0 から <16.2.11 | 15.5.21、16.2.11 |
| CVE-2026-64642 | 高 | Turbopackと単一ロケール使用時のミドルウェア・プロキシ認可バイパス | >=16.0.0 から <16.2.11 | 16.2.11 |
| CVE-2026-64643 | 中 | Server Function エンドポイントIDの未認証状態での漏洩 | >=13.0.0 から <15.5.21; >=16.0.0 から <16.2.11 | 15.5.21、16.2.11 |
| CVE-2026-64644 | 中 | SVGを起点とする画像最適化APIのDoS | >=15.5.0 から <15.5.21; >=16.0.0 から <16.2.11 | 15.5.21、16.2.11 |
| CVE-2026-64645 | 高 | 攻撃者が制御可能なリライト・リダイレクトのホスト名によるSSRF | >=12.0.0 から <15.5.21; >=16.0.0 から <16.2.11 | 15.5.21、16.2.11 |
| CVE-2026-64646 | 中 | Edgeランタイムにおける上限のないServer Actionペイロード | >=13.0.0 から <15.5.21; >=16.0.0 から <16.2.11 | 15.5.21、16.2.11 |
| CVE-2026-64647 | 中 | 不正なUTF-8リクエストボディに関連するキャッシュ混同 | >=13.0.0 から <15.5.21; >=16.0.0 から <16.2.11 | 15.5.21、16.2.11 |
| CVE-2026-64648 | 中 | 異なるボディを持つfetchリクエストにおけるキャッシュ混同 | >=13.0.0 から <15.5.21; >=16.0.0 から <16.2.11 | 15.5.21、16.2.11 |
| CVE-2026-64649 | 高 | カスタムサーバー上のServer ActionsにおけるSSRF | >=14.1.1 から <15.5.21; >=16.0.0 から <16.2.11 | 15.5.21、16.2.11 |
警告: 20以上の政府機関サイトが、企業や市民にマルウェアを配布していました。 攻撃に関する詳細な調査結果 を確認し、自組織の露出状況をチェックしてください。
翻訳元: https://gbhackers.com/next-js-patches-nine-security-flaws/
