「Next.js」に複数の深刻な脆弱性 - リリース予定を前倒し

ウェブアプリケーションフレームワーク「Next.js」に複数の深刻な脆弱性が確認された。開発チームでは当初予定を前倒しし、修正版を提供している。

開発チームは、「Next.js 16.3.3」「同15.5.24」について2026年8月26日のリリースを目標に準備を進め、脆弱性「CVE-2026-75604」を解消する予定だったが、あらたに別の脆弱性が判明したことを受け、1日早い8月25日にアップデートを公開した。

「CVE-2026-75604」は、認証を必要とすることなく、リモートからコードを実行されるおそれがある脆弱性。Windowsのファイルシステムを使用するサーバ上で稼働し、キャッシュコンポーネントを利用していない「Pages Router」および「App Router」のアプリケーションが影響を受ける。

あらたに判明した脆弱性は、リリースの段階でCVE番号が採番されておらず、識別子「GHSA-2xp9-vwfh-vxw4」にて追跡されている。

画像最適化を行う「sharp」が依存するライブラリ「libheif」に判明したヒープバッファオーバーフローの脆弱性「GHSA-g89c-p67h-r497」に起因。細工された「AVIFファイル」を処理すると、認証なしでサーバ上の任意のコードを実行されるおそれがある。

（Security NEXT - 2026/08/26 ）ツイート

「Next.js」に複数の深刻な脆弱性 - リリース予定を前倒し

関連リンク

PR

関連記事