Next.jsの脆弱性3件（2026年10月）｜対象バージョンと確認方法、16.4.1・15.5.28への更新

公表されたのは次の3件です。深刻度はVercelの評価（CVSS 4.0）です。[1][2][3][4][6][7]

CVE-2026-96889は、SVGを描画するライブラリlibrsvgの脆弱性の番号です。採番したRed Hatの評価はCVSS 3.1の7.8（ローカルからの攻撃が前提）です。Next.jsの画像最適化が使うsharpがlibrsvgを組み込んでいるため、Next.jsでもネットワーク経由で届く脆弱性として扱われています。sharpは0.35.5でlibrsvgを2.63.2に上げて直しました。[3][8][9]

3件で前提が違います。[2][3][4]

Cache Componentsは16.0.0で正式な設定になり、use cacheはこの設定を有効にしたときに使えます。[19]

ホスティングごとの違い

自前のサーバーやコンテナでnext startする場合は、上の前提がそのまま当てはまります。Netlifyは、画像最適化はNetlify Image CDNが受け持つためこの経路を通らず、next/ogのImageResponseに信頼できない入力を渡すアプリでも起きるのは関数の実行が落ちる程度だとしています。use cacheの件は前提に当てはまれば影響を受けます。[12]

Vercelでホスティングしている場合の扱いは、Next.jsのブログとアドバイザリに記載がありません（11月2日確認）。[1][2][3][4]

米CISAの「悪用が確認された脆弱性の一覧（KEV）」には、11月2日の確認時点（10月30日版）で載っていません。今後30日に悪用される見込みの推定（EPSS）は、CVE-2026-96889が0.56%です（11月1日時点）。シンガポールのCSAは10月20日に注意喚起を出しました。[13][16][17]

CVE-2026-96889のCVEの記録にCISAが付けた評価（SSVC）では、悪用の状況は「PoCあり（poc）」です（9月25日時点）。librsvgとしての評価で、Next.jsを経由する手順の公開はアドバイザリに書かれていません。ほかの2件もPoCの公開は確認できていません。[2][4][8]

推奨する版は、Next.jsのアドバイザリと、npmに公開済みの版から出しました（11月2日確認）。上げる前にリリースノートで変更点を確かめてください。[2][3][4][14][22][23]

CVE-2026-96889の16系の範囲は、Vercelでは「16.0.0より後」、GitHub Advisory Databaseでは「16.0.0以上」ですが、16.0.0はほかの2件の対象です。[3][5]

15系のセキュリティの修正は2027年1月31日までです。米国時間11月3日には、中程度の7件の定期リリースが予告されています。[18][21][22][23]

1. Next.jsとsharpの版を、間接の依存まで含めて確かめます。pnpmはpnpm why next sharpで確かめられます。

   ターミナル

   npm ls next sharp --all

2. 動かしている環境を確かめます。next infoは版とOSを表示します。サーバーやコンテナの中のldd --versionで「GNU libc」と出ればglibcのLinuxです。

   ターミナル

   npx next info
   ldd --version

3. アプリが使っている機能を確かめます。

   ターミナル

   grep -n -e "cacheComponents" -e "dangerouslyAllowSVG" next.config.*
   grep -rln -e "use cache" -e "use server" app src

4. 系列に合わせて上げます。1行目が16系、2行目が15系です。

   ターミナル

   npm install next@^16.4.1
   npm install next@15.5.28

5. 15系では、sharpが0.34系なら依存の範囲の中で0.35.5に上げます。

   ターミナル

   npm ls sharp --all
   npm update sharp

6. ビルドし直してデプロイし、版を確かめます。sharpが組み込むlibrsvgが2.63.2なら修正済みです。

   ターミナル

   npm ls next sharp --all
   node -p "require('sharp').versions.rsvg"

OSに入れたlibrsvgを使う構成では、librsvgを2.63.2にします。[9]

Next.jsのアドバイザリにある回避策は、CVE-2026-96889の「sharpを0.35.5以上にする」だけです。GHSA-673q-mjm6-r5xrには既知の回避策がなく、GHSA-p3m5-59mp-jv5rは更新のほかに回避策がありません。[2][3][4]

sharpのアドバイザリは、SVGを読み込ませない設定（sharp.block({ operation: ["VipsForeignLoadSvg"] })）と、PIEとしてビルドされたnodeの実行ファイル（公式の配布物はPIEではない）を使うことを挙げています。Next.jsのアドバイザリには載っていない、sharp側の回避策です。[9]

Netlifyは、公開されたままのデプロイプレビューとブランチデプロイを手で削除するよう求めています。[12]

Next.jsのブログは、修正版に上げればパッケージ管理ツールが修正済みのsharpを入れる、としています。[1]一方、npmに公開された15.5.28の情報では、任意の依存のsharpの範囲は^0.34.3 || ^0.35.5で、0.34系も含みます。sharpのアドバイザリでは、0.35.5より前はすべて対象です。[9][14]

ロックファイルにsharpの0.34系が記録されている環境では、15.5.28へ上げてもsharpが0.34系のまま残ることがあります（npmの範囲の解決から見た当社の整理）。0.35.4が入っていた環境は範囲から外れて入れ替わり、16.4.1の範囲は^0.35.5だけです。sharp 0.35.5は9月27日に公開済みです。[14][15]

sharpを直接の依存として入れている場合は、package.jsonの指定が0.35.5以上を許すかも確かめます。

同じ日にReactも、React Server Componentsのコード実行のおそれ（GHSA-xqc2-xf4c-x3h3、緊急、Critical、9.5）とサービス停止のおそれ（GHSA-h3gv-c5rc-p453、高、High、8.2）を公表しました。Next.jsのブログは、それぞれをuse cacheの件とServer Actionsの件の「関連する上流のアドバイザリ」としています。[1][10][11]

Reactの件の対象はreact-server-dom-webpack・react-server-dom-parcel・react-server-dom-turbopackで、修正版は19.0.9・19.1.10・19.2.9・19.3.1です。react本体は入っていません。Next.jsではnextを上げ、ほかのフレームワークでReact Server Componentsを動かす場合はこれらを上げます。[1][10][11]