脅威動向 2026-10-16（金）配信

Next.js、重要RCE脆弱性など3件を修正するセキュリティ更新

Next.jsの開発チームは、未認証の遠隔コード実行（RCE）につながる2件の重大な脆弱性と、サービス妨害（DoS）の脆弱性を修正するセキュリティアップデートを公開しました。対象となるNext.js 16および15の各バージョンに向けて修正版が提供されています。

脅威の概要

Next.jsにおいて、React Server Componentsのキャッシュ機能、sharpパッケージを経由するlibrsvgのSVG画像処理、およびServer Actionsに、未認証の遠隔コード実行（RCE）やサービス妨害（DoS）を引き起こす3件の重大な脆弱性が確認されました。

主要なTTP

React Server Componentsのキャッシュ機能における複数の型付き配列と攻撃者制御値の処理を通じた認証なしの遠隔コード実行

librsvgライブラリのメモリバグを利用したSVG画像処理時の認証なしの遠隔コード実行

Server Actionsに対する不正なリクエスト送信によるプロセス全体のCPU高負荷化とサービス妨害（DoS）

対象となる組織・利用者

Next.js（バージョン15および16の対象ビルド）を運用している組織。

推奨される防御アクション

Next.jsをバージョン16.4.1または15.5.28以降にアップデートし、再ビルドと再デプロイを行う

バージョン15の環境では、npm ls sharpコマンド等でsharpパッケージが0.35.5以降に更新されていることを確認し、古い場合は手動でアップデートする

Next.jsのアップグレードが直ちに困難な場合、sharpを0.35.5以降にするか、sharp.block({ operation: [\"VipsForeignLoadSvg\"] })によりSVG描画をブロックする

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。