Next.js、Critical脆弱性2件の修正を8月25日に前倒し公開
Next.js 公式ブログ公式発表
Next.jsセキュリティ脆弱性リリースフロントエンド
Next.js チームが、8月26日に予定していたセキュリティリリースを8月25日へ前倒しすると発表した。対象は Next.js 16.3.3 と 15.5.24 で、当初1件としていた Critical 深刻度の脆弱性が2件に増えたことが前倒しの理由。詳細なアドバイザリはパッチ公開と同時に出される。
何が発表されたか
Next.js 公式ブログが、8月のセキュリティリリースの日程変更を告知した。
- 公開日を、当初アナウンスしていた 8月26日から8月25日へ前倒しする
- 公開されるのは Next.js 16.3.3 と 15.5.24
- 当初は Critical 深刻度の脆弱性1件への対応予定だったが、新たにもう1件が判明し、計2件を対象とする
- 新しく見つかった問題が、日程を前倒しする判断につながった
- 2件を同一リリースで修正するため、利用者はアップグレードを1回行えばよい
影響範囲・対象バージョン・アップグレード手順を含む完全なアドバイザリは、パッチ公開と同じタイミングで別途出されるとしている。Next.js チームは「リリースが利用可能になり次第、できるだけ早くアップグレードすること」を推奨している。
開発者への影響
Critical 深刻度が2件という規模のため、Next.js を本番運用しているチームは対応を後回しにしにくい。
- アップグレード対象の確認: Active LTS 系は 16.3.3、Maintenance LTS 系は 15.5.24 が受け皿になる。自プロジェクトがどちらの系列に乗っているかを事前に把握しておくと、リリース当日の作業が短くなる
- 前倒しへの追随: 26日を想定してメンテナンス枠を確保していた場合、その前提が1日ずれる。CI/CD のリリース枠や承認フローを組んでいるチームは調整が必要になる
- 1回のアップグレードで済む: 2件を分割せず同一リリースにまとめる方針が明示されているため、短期間に二度アップグレードを迫られる事態は避けられる
- 詳細は公開後に確認: 現時点では脆弱性の性質（どの機能が影響を受けるか、緩和策があるか）は公表されていない。回避策の判断はアドバイザリ公開を待つ必要がある
なお Next.js は、Vercel のオープンソース向けバグバウンティ（HackerOne）を通じてセキュリティ研究者と協働しており、セキュリティに関する問い合わせは security@vercel.com で受け付けているとしている。