B
今週中
Next.jsにおいて、認証なしでリモートコード実行（RCE）が可能な2つの深刻な脆弱性と、1つのDoS脆弱性が修正されました
📌 一言でいうと
Next.jsにおいて、認証なしでリモートコード実行（RCE）が可能な2つの深刻な脆弱性と、1つのDoS脆弱性が修正されました。1つはReact Server Componentsのキャッシュ処理に、もう1つはSVG画像処理ライブラリのlibrsvgに起因します。VercelはRCEの脆弱性にCVSS 9.5という極めて高いスコアを割り当てており、迅速なアップデートを推奨しています。
🔍該当判定
- Webサイトの構築に「Next.js」というフレームワークを利用している
- Next.jsのバージョンが「16.4.0以下」または「15.5.27以下」である
- Next.jsで「App Router」を利用し、「use cache」機能を有効にしている
- Next.jsで「sharp」パッケージを利用してSVG形式の画像を処理している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Next.jsを最新バージョン（16.4.1 または 15.5.28）にアップデートしてください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Next.js RCE脆弱性 (CVE-2026-96889等) 対応について
お疲れさまです。Next.jsの深刻な脆弱性に関する情報共有です。
■ 概要
Next.jsにおいて、認証なしでリモートコード実行 (RCE) が可能な2つの脆弱性と、DoS脆弱性が報告されました。RCEのCVSSスコアは9.5と極めて高く、攻撃者がサーバー上で任意のコードを実行させる恐れがあります。
■ 影響範囲
- Next.js 16.0.0 ～ 16.4.0 (Cache Components有効なApp Routerアプリ)
- Next.js 10.0.0 ～ 15.5.27 (SVG画像処理を利用している場合)
■ 対応手順
1. 利用しているNext.jsのバージョンを確認してください。
2. 以下の修正済みバージョンへアップデートを適用してください。
- Activeリリース: 16.4.1
- LTSリリース: 15.5.28
■ 参考情報
- Vercel公式セキュリティアドバイザリ
対応優先度: 高
対応期限: 速やかに
お疲れさまです。Next.jsの深刻な脆弱性に関する情報共有です。
■ 概要
Next.jsにおいて、認証なしでリモートコード実行 (RCE) が可能な2つの脆弱性と、DoS脆弱性が報告されました。RCEのCVSSスコアは9.5と極めて高く、攻撃者がサーバー上で任意のコードを実行させる恐れがあります。
■ 影響範囲
- Next.js 16.0.0 ～ 16.4.0 (Cache Components有効なApp Routerアプリ)
- Next.js 10.0.0 ～ 15.5.27 (SVG画像処理を利用している場合)
■ 対応手順
1. 利用しているNext.jsのバージョンを確認してください。
2. 以下の修正済みバージョンへアップデートを適用してください。
- Activeリリース: 16.4.1
- LTSリリース: 15.5.28
■ 参考情報
- Vercel公式セキュリティアドバイザリ
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] Next.js RCE Vulnerabilities (CVE-2026-96889)
Dear Team,
This is a notification regarding critical vulnerabilities discovered in Next.js.
■ Overview
Two critical remote code execution (RCE) flaws and one high-severity DoS flaw have been identified. The RCE vulnerabilities carry a CVSS score of 9.5, allowing unauthenticated attackers to execute arbitrary code on the server.
■ Affected Versions
- Next.js 16.0.0 through 16.4.0 (App Router apps with Cache Components enabled)
- Next.js 10.0.0 through 15.5.27 (SVG processing via librsvg)
■ Remediation
1. Identify the current version of Next.js used in your projects.
2. Update to the following patched versions immediately:
- Active release: 16.4.1
- LTS release: 15.5.28
■ Reference
- Vercel Official Security Advisory
Priority: High
Deadline: Immediate
Dear Team,
This is a notification regarding critical vulnerabilities discovered in Next.js.
■ Overview
Two critical remote code execution (RCE) flaws and one high-severity DoS flaw have been identified. The RCE vulnerabilities carry a CVSS score of 9.5, allowing unauthenticated attackers to execute arbitrary code on the server.
■ Affected Versions
- Next.js 16.0.0 through 16.4.0 (App Router apps with Cache Components enabled)
- Next.js 10.0.0 through 15.5.27 (SVG processing via librsvg)
■ Remediation
1. Identify the current version of Next.js used in your projects.
2. Update to the following patched versions immediately:
- Active release: 16.4.1
- LTS release: 15.5.28
■ Reference
- Vercel Official Security Advisory
Priority: High
Deadline: Immediate