Next.js の脆弱性 CVE-2026-75604／CVE-N/A が FIX：未認証により RCE の恐れ

Critical Next.js Vulnerabilities Enables Remote Code Execution Attacks

2026/08/26 CyberSecurityNews — Next.js の 2 件の深刻な脆弱性 CVE-2026-75604／CVE-N/A により発生するのは、Image Optimization API を用いて AVIF 画像を処理する Windows 上のアプリケーションでの、認証を必要としないリモート・コード実行である。

1 件目の脆弱性である CVE-2026-75604 は、Cache Components を使用せず、Pages Router または App Router のいずれかを使用する Next.js アプリケーションに影響を及ぼし、Windows ファイル・システムを使用するサーバ上で影響を受けるアプリケーションが動作している場合に、攻撃者によって悪用される可能性がある。

GitHub は、この特殊なパス要素の不適切な制限に起因する脆弱性を Critical と評価し、パス・トラバーサルを指す CWE-22 に分類している。それを悪用する攻撃者が、自身で制御する入力によりアプリケーションにファイルパスを構築させることで、意図しているディレクトリ外の場所へ向けた、細工されたリクエストによるアクセスが生じる可能性がある。

この脆弱性の CVSS v3.1 ベクターは「/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H」であり、GHSA-p293-qw3h-jr36 アドバイザリでは攻撃の複雑さが High と評価されている一方、認証やユーザー操作を必要とせず、リモートから悪用できる。攻撃に成功した場合には、機密データの漏洩／サーバ・サイドでのコンテンツの改変／アプリケーションの可用性の低下が発生する恐れがある。

影響を受けるバージョンには、Next.js 13.4 〜 15.5.24 未満／16.0 〜 16.3.3 未満のリリースが含まれる。すでに Vercel は、Next.js 15.5.24／16.3.3 をリリースし、この問題を修正している。現在、Windows 上でホストされている影響対象アプリケーションに利用できる回避策はないため、速やかなアップグレードが推奨される。

Next.js Image Optimization API の脆弱性

2 件目の重大なアドバイザリであるGHSA-2xp9-vwfh-vxw4 は、AVIF ファイルを最適化する Next.js Image Optimization API の利用環境に関するものである。この CVE-N/A の脆弱性は、画像処理パッケージ Sharp で使用されている基盤ライブラリ libheif に起因する。Next.js は、アプリケーションから提供される画像のサイズ変更／変換／最適化のために Sharp を使用している。

この脆弱性を悪用する攻撃者は、脆弱な画像最適化エンドポイントに悪意の AVIF 画像を送信する。影響を受ける libheif コンポーネントで、この悪意のファイルが処理されると、サーバ上でリモート・コード実行が引き起こされる可能性がある。このアドバイザリでは、CVSS v4 ベクターとして「/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H」が割り当てられており、機密性／完全性／可用性に大きな影響が及ぶことを示している。

AVIF 関連の脆弱性は、Next.js のバージョン 10.0.0 〜 15.5.24 未満／16.3.3 未満に影響を及ぼすが、すでにバージョン 15.5.24／16.3.3 で解決されている。また、この依存関係の修正が反映されるまで、Next.js は保護措置として AVIF 最適化を無効にしていたが、運用側はこの対応だけに依存すべきではない。

管理者に必要なのは、導入済み Next.js アプリケーションの更新／本番環境コンテナの再構築／依存関係ロックファイルの更新／稼働中のワークロードが修正版で動作していることの確認である。セキュリティチームは、公開画像アップロードパス／Next.js Image Optimization API の公開状況／Windows 上で稼働する本番環境インスタンス／パス・トラバーサルまたは AVIF 処理に関連する異常なリクエストのログを確認すべきである。

これらのアドバイザリは、evolutionstorm および B0RI というハンドルネームの研究者によって報告された。

Next.js の画像最適化機能において、深刻な問題が判明しました。Windows サーバ環境における不適切なパス制限や、画像処理エンジンが依存するライブラリの欠陥が背景にあります。これにより、未認証の外部攻撃者によるサーバ内部ファイルへの不正アクセスや、任意のコード実行を許してしまう危険性があります。機密情報の漏洩／システム改変／サービス停止といった深刻な被害につながるおそれがあるため、対策が必要です。影響を受ける CVE-2026-75604 ／ CVE-N/A に対しては、修正済みバージョンへの更新／コンテナの再構築／ログの監視などの安全確保策が求められます。