Next.jsセキュリティリリース（2026年9月）：更新すべきバージョンとタイミング

WebサイトやWebアプリがNext.jsで動いているなら、2026年9月には2つのNext.jsセキュリティ更新があります。9月22日、Next.jsチームは重大なリモートコード実行の問題に対する臨時の修正を公開しました。9月23日には、さらに9件の脆弱性を修正する予定リリースを発表し、現在は16.3.8と15.5.27で提供される見込みです。

Next.jsの公式ブログをもとに、それぞれの更新内容、影響するバージョン、安全な更新方法をまとめます。

2026年9月の更新スケジュール

• 2026年9月22日： 16.3.6（Active LTS）と15.5.26（Maintenance LTS）で臨時のセキュリティ更新。
• 2026年9月23日： 9件の脆弱性を修正する2026年9月30日の予定リリースを発表。
• 2026年9月29日： バグ修正を含む16.3.7を公開。Next.jsチームは、予定していたセキュリティ修正は含まれておらず、16.3.8と15.5.27で提供される見込みだとしています。

執筆時点（2026年9月30日）では、16.3.8と15.5.27はまだnpmに公開されていません。公開され次第、この記事を更新します。

9月22日の修正：重大なリモートコード実行

この臨時リリースでは、Satoriを含む上流の依存関係を更新し、next/ogのNode.js ImageResponse実装でリモートコード実行につながる可能性のある問題を修正しています。Next.jsは深刻度をCriticalとしています（アドバイザリGHSA-vcvr-r3jv-pc5j、関連するSatoriの上流アドバイザリGHSA-wx4j-mvgx-mqwp）。

• 影響あり： Next.js 16.2.0以上、16.3.6未満。
• リモートコード実行の影響なし： Next.js 15.x。15.5.26には関連する堅牢化が含まれます。
• 影響なし： Edge ImageResponse実装を使っているアプリ。

予定リリース：9件の脆弱性

予定リリースでは、Next.jsの9件の脆弱性（Critical 1件、High 2件、Medium 5件、Low 1件）に対応します。Next.jsチームは、影響、対象バージョン、更新手順を含む詳細なアドバイザリを、修正版と同時に公開する予定です。

安全に更新する方法

1. 1バージョンを確認する。 package.jsonとロックファイルのnextパッケージを確認します。
2. 2今すぐ更新する。 16.x系なら16.3.6以降、15.5系なら15.5.26に更新します。Next.jsのブログでは、16.3向けにnpm install next@16.3.6、15.5向けにnpm install next@15.5.26というコマンドが示されています。
3. 3ステージングでテストする。 デプロイ前に、特にnext/ogで画像を生成するページを含む主要な流れを確認します。
4. 416.3.8または15.5.27が公開されたらすぐに適用し、 アドバイザリを読んで、9件のうち使っている機能に影響するものがないか確認します。

ビジネスにとっての意味

こうしたセキュリティリリースは人気のあるフレームワークでは一般的で、明確な更新手順が示されているのは良い兆候です。本当のリスクは、誰も見ていないアプリです。誰も発表に気づかず、修正が何か月も適用されないままになります。重大なリモートコード実行の問題は、四半期ではなく数日以内に修正すべき種類の問題です。

だからこそ私たちは、保守をオプションではなくすべてのプロダクトの一部として扱っています。予算の立て方はアプリ開発費用のガイドで解説しています。

Estontincができること

私たちはNext.jsのWebサイトとWebアプリケーションを開発・保守しています。使用中のバージョンを確認し、更新とテストを行い、バグ修正とアップデート、監視、バックアップを含む保守プランで最新の状態に保ちます。Web開発とクラウド & DevOpsのサービスをご覧ください。

サイトのNext.jsのバージョンがわからない場合は、確認をご依頼ください。24時間以内にご返信します。