概要
Next.jsチームは2026年8月20日、深刻度「Critical」の脆弱性を修正するセキュリティリリースを8月26日に実施すると事前告知した。対象となるのはバージョン16.3.3および15.5.24で、当日は影響範囲・対象バージョン・アップグレード手順を含む詳細なアドバイザリも合わせて公開される予定だ。現時点では脆弱性の技術的な詳細は明かされておらず、チームはパッチ公開後速やかにアップグレードするよう開発者に呼びかけている。
背景にある新しいセキュリティリリース体制
今回の予告は、Next.jsが2026年7月13日に正式導入した「セキュリティリリースプログラム」に基づくものだ。従来、Next.jsのセキュリティパッチは事前告知なしに不定期で公開されており、利用チームにとっては予測不能な対応を強いられる要因となっていた。新体制では月1回程度のペースで、リリース予定日と想定される最大深刻度を事前にブログで公表し、開発者がアップグレード計画を立てやすくする。あわせてホスティング事業者などのプラットフォームパートナーとも連携し、パッチ未適用のアプリケーションを守るファイアウォールルールなどの緩和策を先行して展開できるようにするという。なお、悪用が確認されている脆弱性や、公開を待てない緊急の開示については、これまで通り予告なしの臨時パッチとして対応するとしている。
脆弱性研究の急増という背景
チームがこの新体制に踏み切った背景には、LLM(大規模言語モデル)を活用した脆弱性研究の急増がある。ブログ記事では、AnthropicのMythos Previewによって発見された271件もの脆弱性が単一のFirefoxリリースでMozillaから一括開示された事例が引き合いに出されており、業界全体で自動化された脆弱性発見のペースが加速していることがうかがえる。Next.jsチーム自身も、独自ツール「deepsec」や社内研究者、拡大されたバグバウンティの対象範囲を通じて同種の手法を適用し、攻撃者に先んじて問題を把握する体制を強化しているという。この体制は、2025年12月に開示された「React2Shell」の脆弱性対応を教訓として整備が進められてきた経緯がある。
今後の見通し
直近では2026年7月21日に最初の定例セキュリティリリースが実施されており、Next.js 16.2系および15.5系を対象に、High深刻度4件・Medium深刻度5件の脆弱性が修正されている。今回8月の対象はそれよりも深刻度の高いCriticalとされており、影響を受けるアプリケーションの範囲によっては早急な対応が必要になる可能性がある。Next.jsを利用する開発者は、8月26日の正式リリースとアドバイザリ公開を待ち、対象バージョンやCVEの詳細が判明次第、速やかに16.3.3または15.5.24へのアップグレードを検討することが推奨される。