Next.jsのメンテナーは、2件の深刻なリモートコード実行の脆弱性と、重大度「高」のサービス拒否（DoS）の脆弱性に対処するため、定例外のセキュリティアップデートを公開しました。
これらの問題は、Cache Components、SVG画像の最適化、Server Actionsを利用する特定のアプリケーション構成に影響します。認証されていない攻撃者がコードを実行したり、リクエスト処理を妨害したりする恐れがあります。
Sebastian Silbermann氏、Josh Story氏、Karim Rahal氏の名義で10月14日に公開されたアドバイザリーによると、修正版はActive LTSブランチがNext.js 16.4.1、Maintenance LTSブランチがNext.js 15.5.28です。
1件目の深刻な脆弱性はGHSA-673q-mjm6-r5xrとして管理されており、App RouterでCache Componentsを使用し、use cache関数が複数の型付き配列を返す場合に影響します。この問題は、上流のReactのアドバイザリーGHSA-xqc2-xf4c-x3h3と関連しています。
Next.jsによると、この状態では認証なしでのリモートコード実行が可能になります。メンテナーは既知の回避策はないとしており、該当するような関数を使っていないと考えている場合でも、ただちにアップグレードするよう推奨しています。
2件目の深刻な脆弱性であるCVE-2026-96889（GHSA-2464-fhr4-w9xw）は、SVGを使用する場合のImage Optimization APIに関するものです。上流の画像処理ライブラリにメモリ関連の脆弱性があり、Next.jsがglibcベースのLinux上で動作している場合、リモートコード実行につながる恐れがあります。
この問題については、依存関係レベルでの回避策がアドバイザリーに示されています。Next.jsが使用するsharpのバージョンを0.35.5以降にすることです。修正版のNext.jsにアップグレードすれば、パッケージマネージャーが修正済みのsharpを取得します。
公表されている環境条件は、あらゆるデプロイ環境ではなく、glibcベースのLinuxに限定されています。
重大度「高」の脆弱性GHSA-p3m5-59mp-jv5rは、Server Actionを1つ以上含むApp Routerアプリケーションに影響します。関連する上流のReactのアドバイザリーはGHSA-h3gv-c5rc-p453です。
攻撃者が細工したリクエストを送信すると、CPUを過剰に消費させることができます。これにより同一プロセス内での以降のリクエスト処理が阻害され、サービス拒否に陥ります。
見出しではサーバーのクラッシュとされていますが、アドバイザリーが明記しているのはCPUの枯渇と処理の阻害であり、プロセスのクラッシュが確認されたわけではありません。
Pages Routerを使用するアプリケーションや、Server Actionsを使用しないアプリケーションは、このサービス拒否の脆弱性の影響を受けません。ただし、これは別の画像最適化の脆弱性に対する防御を意味するものではない点に注意が必要です。
管理者は、影響を受けるデプロイ環境をNext.js 15.5.28または16.4.1へ優先的にアップグレードしてください。コマンドはそれぞれnpm install [email protected]、npm install [email protected]です。
提供された通知には、攻撃者がこれらの脆弱性を実際に悪用したかどうか、また公開されたエクスプロイトが存在するかどうかは記載されていません。中心となる推奨事項は、依存関係をただちに更新することです。Cache Componentsのリモートコード実行の脆弱性には、既知の回避策がありません。
影響範囲を評価するチームは、3件がすべて同一の構成に影響する、あるいは緩和策が共通で使えると決めつけず、各脆弱性の前提条件を個別に見極める必要があります。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-next-js-vulnerabilities/
