Next.jsに重大な脆弱性、外注先への確認ポイントは?

もし今契約している制作会社から「Next.jsに重大な脆弱性が見つかりました」と連絡が来たら、何を確認すればいいか即答できるでしょうか。2026年8月25日、Next.jsの公式ブログでCritical(重大)severityの脆弱性2件への緊急パッチがリリースされました。今回はこの内容を整理しながら、外注先とのセキュリティ対応の確認ポイントを考えます。

何が起きたか

Next.js公式ブログのAugust 2026 Security Releaseによれば、対象はv16.3.3(Active LTS)未満のNext.js 16系と、v15.5.24(Maintenance LTS)未満の15.5系です。当初予定していたリリース日を前倒しし、さらにもう1件のCritical脆弱性が追加で見つかったことで、急遽同日中の緊急パッチ配布になりました。内容は大きく分けて2つあります。

どちらも「未認証のリモートコード実行」、つまり攻撃者がログインなしにサーバー側で任意のコードを実行できてしまうという、最も深刻な部類の脆弱性です。ただし発生条件を見ると分かるように、両方とも常に危険というわけではありません。

「自分ごと」かどうかは環境次第

1つ目のAVIF関連の脆弱性は、サイトがユーザーからのアップロード画像や外部URLの画像を、Next.jsの画像最適化機能経由で表示している場合に関係します。逆に言えば、掲載する画像がすべて制作側で用意した固定の素材であるコーポレートサイトやLPであれば、この経路からの実害は基本的に考えにくい構成です。

2つ目のWindowsホスティング環境の脆弱性は、さらに条件が絞られます。Vercelを含む多くのホスティング環境はLinuxベースで、影響を受けません。また新規構築ではApp Router単体で作ることが増えており、Pages RouterとApp Routerを併用する構成自体が減ってきています。率直に言うと、この脆弱性は「オンプレミスのWindows Serverで、比較的古い設計のNext.jsアプリを動かしている」という、限られたケースにだけ刺さる話です。

外注先に聞くべきこと

重要なのは、「重大」と報道されるたびにパニックになることではなく、自社のサイトが実際にどちらかの条件に当てはまるかを確認することです。「うちのサイトは画像最適化機能でユーザー由来の画像を扱っていますか?また本番のホスティング環境はWindowsですか、Pages RouterとApp Routerを両方使っていますか?」と聞いてみるとよいでしょう。この質問に即答できない、あるいは「バージョンは確認してみないと分かりません」という返答が返ってくるようであれば、日常的な依存パッケージの更新管理体制そのものを見直したほうがよいかもしれません。

継続的なパッチ対応、保守契約に含まれていますか

今回のような緊急パッチへの対応は、多くの場合「保守契約」の範囲に含まれる作業です。納品して終わりの単発契約だと、脆弱性が公開されても誰も気づかないまま放置される、という状態になりかねません。特に外部からの入力(問い合わせフォーム、ユーザー投稿画像など)を受け付けるサイトを運用している場合は、保守契約の中にセキュリティパッチの適用が含まれているかを、この機会に確認しておくとよいでしょう。