Next.js の 9件の脆弱性が FIX：SSRF／認証バイパス／DoS 攻撃などの恐れ

Next.js Patches Nine Security Flaws Enabling SSRF, Authentication Bypass, and DoS Attacks

2026/07/23 CyberSecurityNews — React フレームワーク Next.js に存在する 9 件のセキュリティ脆弱性が、Vercel により公表され、パッチが適用された。これらのパッチは、Server-Side Request Forgery (SSRF)／middleware 認証バイパス／サービス拒否 (DoS) 攻撃／機密データ露出を可能にする欠陥に対処するものである。

Next.js が複数の脆弱性にパッチ

これらの 9 件の脆弱性は、2026年7月21日にセキュリティ研究者 KarimPwnz により公開され、すでに Next.js バージョン 15.5.21／16.2.11 で修正されている。以前より Next.js は、月例のセキュリティリリース・プログラムを開始すると発表していた。今回の更新は、同フレームワークのサポート対象バージョンにまたがる、9 件の脆弱性に対処するものだ。

最も深刻な脆弱性 CVE-2026-64645 (GHSA-p9j2-gv94-2wf4) は、SSRF の欠陥である。この脆弱性は rewrites 機能に影響し、攻撃者が制御するディスティネーション・ホスト名により、任意の内部エンドポイントへのリクエストを、サーバに送信させることが可能になる。

この脆弱性が影響を及ぼす範囲は、Next.js バージョン 12.0.0 〜 15.5.21／16.0.0 〜 16.2.11 である。ユーザーから提供されたリクエスト・データをもとに、rewrites() または redirects() ルールがディスティネーション・ホスト名を構築する場合に、この脆弱性の悪用が可能になる。

2 つ目の高深刻度 SSRF バグである CVE-2026-64649 (GHSA-89xv-2m56-2m9x) は、カスタム Node.js サーバ上で実行される Server Actions に影響を及ぼす。これにより、攻撃者はアウトバウンド Server Action リクエストを、自身が制御するホストへとリダイレクトできる。

3つ目の CVE-2026-64642 (GHSA-6gpp-xcg3-4w24) は、legacy middleware.ts と単一ロケール i18n コンフィグを備えた Turbopack ビルドを使用する App Router アプリケーションにおいて、middleware／proxy バイパスを可能にする。それにより、攻撃者が認可チェックを完全にスキップする可能性がある。

4つ目の CVE-2026-64641 (GHSA-m99w-x7hq-7vfj) は、悪意のある Server Actions リクエストを通じて悪用され得る。App Router アプリケーションにより、DoS 状態が引き起こされる可能性がある。

中深刻度の DoS 問題 2 件も修正されている。CVE-2026-64646 (GHSA-4c39-4ccg-62r3) は、Edge runtime における無制限の Server Action ペイロードに関係し、メモリを枯渇させる可能性がある。その一方で、CVE-2026-64644 (GHSA-q8wf-6r8g-63ch) により、悪意の SVG ファイルを送信する攻撃者が、Image Optimization API をクラッシュさせる可能性がある。

中深刻度の cache confusion バグ 2 件である CVE-2026-64648 (GHSA-68g3-v927-f742)／CVE-2026-64647 (GHSA-4633-3j49-mh5q) は、アプリケーションがリクエストボディ付きのキャッシュ済み fetch() 呼び出しを使用している場合に、異なるリクエスト間でレスポンス・ボディが混同される可能性がある。

その中には、無効な UTF-8 バイト・シーケンスを含むものもある。それにより、特定のキャッシュ・コンフィグ下で、あるユーザーのデータが、別のユーザーへ提供される可能性が生じる。

最後の中深刻度問題である CVE-2026-64643 (GHSA-955p-x3mx-jcvp) は、Cache Components が reflective Server Actions と併用されている場合に、内部 Server Function endpoint identifiers を、未認証の攻撃者に対して露出させる。ただし Vercel は、この漏洩で露出するデータは、認証情報や個人情報ではなく、不透明な識別子に限定されると指摘している。

影響を受けるバージョンと緩和策

これらの脆弱性は、Next.js エコシステムの広い範囲に影響を及ぼす。その対象となるバージョンは、rewrites SSRF 欠陥に関しては 12.0.0 以下であり、複数の DoS および cache 問題では 13.0.0 以下となる。

古いメジャー・バージョンである 13.x／14.x などに対しては、直接のパッチは提供されない。したがって、それらを実行している組織は、修正済みの 15.x／16.x リリースへとアップグレードする必要がある。

Vulnerability	CVE	Severity
SSRF in rewrites	CVE-2026-64645	High
SSRF in Server Actions (custom servers)	CVE-2026-64649	High
Middleware/proxy bypass	CVE-2026-64642	High
DoS via Server Actions	CVE-2026-64641	High
Unbounded Edge payload	CVE-2026-64646	Moderate
Image Optimization DoS (SVG)	CVE-2026-64644	Moderate
Cache confusion (bodies)	CVE-2026-64648	Moderate
Cache confusion (invalid UTF-8)	CVE-2026-64647	Moderate
Server Function endpoint disclosure	CVE-2026-64643	Moderate

セキュリティ・チームにとって必要なことは、Next.js を 15.5.21／16.2.11 へと直ちにアップグレードすることだ。その上で、rewrites／カスタムサーバ／Turbopack middleware／Cache Components に関するコンフィグを監査し、具体的な露出を判断すべきである。

訳者後書：Web アプリケーション開発で広く使われている Next.js において、転送設定や外部呼び出し処理などの不備に起因する複数の問題が公表されました。不正な通信先への誘導やアクセス制限の回避などにより、組織内のシステムへの不正アクセスやサービス停止などが引き起こされる危険性があります。本件は CVE-2026-64645 や CVE-2026-64649 などとして管理されています。安全に利用するためにも、サポート対象である修正済みのバージョン 15.5.21／16.2.11 以降へ速やかに更新し、転送規則などの設定内容を見直すことが大切になります。