「Next.js」に複数の深刻な脆弱性 - リリース予定を前倒し

ウェブアプリケーションフレームワーク「Next.js」に複数の深刻な脆弱性が確認された。開発チームでは当初予定を前倒しし、修正版を提供している。

開発チームは、「Next.js 16.3.3」「同15.5.24」について2026年8月26日のリリースを目標に準備を進め、脆弱性「CVE-2026-75604」を解消する予定だったが、あらたに別の脆弱性が判明したことを受け、1日早い8月25日にアップデートを公開した。

「CVE-2026-75604」は、認証を必要とすることなく、リモートからコードを実行されるおそれがある脆弱性。Windowsのファイルシステムを使用するサーバ上で稼働し、キャッシュコンポーネントを利用していない「Pages Router」および「App Router」のアプリケーションが影響を受ける。

あらたに判明した脆弱性は、リリースの段階でCVE番号が採番されておらず、識別子「GHSA-2xp9-vwfh-vxw4」にて追跡されている。

画像最適化を行う「sharp」が依存するライブラリ「libheif」に判明したヒープバッファオーバーフローの脆弱性「GHSA-g89c-p67h-r497」に起因。細工された「AVIFファイル」を処理すると、認証なしでサーバ上の任意のコードを実行されるおそれがある。

（Security NEXT - 2026/08/26 ） ツイート

PR

関連記事

SAP、月例セキュリティ更新で新規アドバイザリ19件 - 4件は「Critical」
ホスティング事業者向け請求管理ツール「WHMCS」に深刻な脆弱性
「Cisco Secure Email Gateway」に脆弱性、悪用も - 侵害調査を呼びかけ
「AWS SSM Agent」に深刻な脆弱性 - 7月の更新で修正済み
サーバ管理ソフト「Plesk」に複数の「クリティカル」脆弱性
登山アプリ「YAMAP」のAndroid版に脆弱性 - 最新版へ更新を
「GitLab」「ConnectWise」の脆弱性攻撃が発生 - 米当局が注意喚起
リモートアクセス製品「ConnectWise ScreenConnect」に深刻な脆弱性
「GitLab」にセキュリティ更新 - 「クリティカル」脆弱性を修正
「Adobe ColdFusion」に深刻な脆弱性 - 早急に更新を