Next.js の脆弱性（2026年10月）：重大な2件と修正版 16.4.1／15.5.28
Next.js では2026年10月、「use cache」機能と画像最適化に関する深刻度 CVSS 9.5 の脆弱性が2件公表されました。16.4.1／15.5.28 以降へ更新してください。Next.js を動かす Node.js 本体も同時期に修正版（22.23.4／24.22.1／26.12.1）が出ているため、両方の更新が必要です。
Next.js の脆弱性は、npm でインストールしたフレームワーク自体の問題です。サーバーやホスティングサービスが自動で直すとは限らず、アプリ側で依存関係を更新してデプロイし直す必要があります。
公表された脆弱性
| ID | 内容 | 深刻度 |
|---|---|---|
| GHSA-673q-mjm6-r5xr | 「use cache」機能に関する脆弱性 | CVSS v4.0 9.5 |
| CVE-2026-96889 | glibc ベースの Linux での画像最適化のメモリ破壊 | CVSS v4.0 9.5 |
| CVE-2026-94482 | サービス拒否（DoS） | — |
2026年10月20日のシンガポール CSA の注意喚起などより。実際の悪用は、執筆時点では報告されていません。
やること
- バージョン確認：
npm ls nextでインストール済みの Next.js のバージョンを確認します。 - 更新：16 系は 16.4.1 以降、15 系は 15.5.28 以降へ。
package-lock.jsonも更新してコミットします。 - Node.js も更新：Node.js の2026年10月の修正版（22.23.4／24.22.1／26.12.1）へ。
- 再ビルド・デプロイ：ビルドし直して本番に反映し、画像表示とキャッシュの動作を確認します。
- 14 系以前は移行を検討：古い系列は修正の対象外になることがあるため、サポート中の系列への移行を計画します。
自社サーバーや VPS で動かしている場合は、Patch48 の 緊急セキュリティ対応パック（VPS・独自アプリ）で、Next.js・Node.js の更新と侵入痕跡の確認まで48時間で対応します。
参考：Cyber Security Agency of Singapore ／ CVE Brief（2026-10-23）
よくある質問
Vercel にデプロイしていれば自動で直りますか？
Next.js 自体はアプリの依存関係なので、package.json を更新して再デプロイする必要があります。ランタイムの Node.js のバージョンも設定で確認してください。
Pages Router のサイトも対象ですか？
「use cache」は App Router の機能ですが、画像最適化の脆弱性は next/image を使っていれば対象になりえます。いずれにしても修正版への更新をおすすめします。
自社のサイトが該当するか、48時間で確認・対応します
修正の適用確認・必要な場合のパッチ適用・侵入痕跡の確認・CMS やアプリのチェックまで。共用サーバー・CMS 59,800円（税込65,780円）、VPS・独自アプリ 98,000円（税込107,800円）。急ぎでなければ無料見積りもご利用いただけます。
緊急対応を申し込む →