Next.js、8月26日に「Critical」脆弱性の修正版を公開へ
Next.js 公式ブログ公式発表
Next.jsセキュリティVercelリリースフロントエンド
Next.jsチームが8月26日に予定するセキュリティリリースを事前告知した。緊急度「critical」の脆弱性1件に対応し、16.3.3と15.5.24をアドバイザリと同時に公開する。詳細は当日まで伏せられるため、対象バージョンの確認とアップグレード計画を先に進めておきたい。
何が発表されたか
Next.js チームは 2026年8月20日、8月26日に予定しているセキュリティリリースを事前に告知した。7月に公表したセキュリティリリースプロセスの一環で、パッチ公開に先立って知らせることで、各チームがアップグレードを計画できるようにする狙いがある。
告知された内容は次の通り。
- 対応するのは critical（緊急）severity の脆弱性1件
- 公開予定バージョンは 16.3.3 と 15.5.24
- リリースと同時に、影響内容・影響を受けるバージョン・アップグレード手順を含む アドバイザリ（advisory）を公開
- 公式は、リリース後に修正済みバージョンへアップグレードすることを推奨している
脆弱性そのものの中身は今回の告知では明かされていない。どのような影響があるのか、どのバージョンが対象になるのかは、8月26日のアドバイザリで初めて示される。
開発者への影響
事前告知そのものが、今回のプロセスの要点にあたる。Next.js 側は「パッチが公開される前に、チームがアップグレードを計画できるようにするための猶予」としてこの告知を位置づけている。
- 公開予定として案内されているのは 16.3.3 と 15.5.24 の2本で、16.x 系と 15.x 系の両方にパッチが用意される
- 影響範囲はアドバイザリ公開まで不明なため、現時点でできるのは、自プロジェクトが使っている Next.js のバージョンを把握し、8月26日に速やかに上げられる状態にしておくこと
- severity が critical とされている点から、リリース当日の対応優先度は高くなる
セキュリティプログラムについて
Next.js を含むオープンソースフレームワークのセキュリティは、Vercel の Open Source Bug Bounty（HackerOne 上で運営）を通じてセキュリティ研究者と協力しながら進められている。プログラムや脆弱性管理に関する問い合わせ先として security@vercel.com が案内されている。
今回の告知は Josh Story 氏、Karim Rahal 氏、Sebastian Silbermann 氏の連名で公開された。