Vercelは7月20日（現地時間）、Next.jsの深刻な脆弱性を修正する最新セキュリティリリースを発表した。対象となるバージョンは、Active LTSのv16.2.11、Maintenance LTSのv15.5.21、さらにv16.3系のカナリー版（v16.3.0-canary.92）とプレビュー版（v16.3.0-preview.7）である。今後リリース予定の安定版v16.3.0にも修正が反映される予定だ。
今回のリリースでは、App Routerに関連する高リスクのサービス拒否（DoS）脆弱性（CVE-2026-64641）、Turbopackと単一ロケール構成時のミドルウェア・プロキシバイパス（CVE-2026-64642）、書き換え処理に関するサーバーサイドリクエストフォージェリ（SSRF、CVE-2026-64645、CVE-2026-64649）など、複数の重大な問題を修正している。
また、SVG画像の最適化APIの利用時やEdgeランタイムでのメモリ消費、認証されていない内部サーバー機能エンドポイントの開示、リクエスト本文のキャッシュ混乱など、いくつかの中リスク脆弱性（CVE-2026-64644、CVE-2026-64646、CVE-2026-64643、CVE-2026-64648、CVE-2026-64647）も含まれる。
これらの脆弱性は、アプリケーションの動作停止や認証バイパス、悪意のある外部サーバーへのアクセス誘導、情報漏えいなど、実運用上の重大なリスクとなる。特に、App RouterやServer Actions、画像最適化APIなど該当機能を利用している開発者は、速やかなアップデートが推奨されている。
対象バージョンへのアップデートは、パッケージマネージャのコマンドを利用して実施できる。また、さらなる情報や報告についてはVercelのセキュリティチームへの連絡が案内されている。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
