Next.js、10月14日に臨時セキュリティ更新を予告　Critical 2件

何が発表されたか

Next.jsチームは2026年10月8日、公式ブログで臨時（out-of-band）のセキュリティ更新を2026年10月14日（水）に公開する予定だと告知した。

• 修正対象は上流の依存関係にある3件の脆弱性
• 深刻度はCritical 2件、High 1件
• うち2件は上流との調整のため、9月のセキュリティリリースから延期されていたもの
• 影響内容、対象バージョン、アップグレード手順を含む完全なアドバイザリは、更新と同時に公開される

現時点で公開されているのは予告のみで、対象バージョンや回避策はまだ示されていない。Next.jsチームは、更新が利用可能になり次第、パッチ適用済みのバージョンへできるだけ早く上げるよう呼びかけている。

取るべき対応

影響を受けるのは、Next.jsを使って構築したWebサイトやアプリを運用している制作者・事業者だ。自社サイト、クライアントの案件、社内ツールのいずれも対象になり得る。

10月14日より前にやっておけること。

• 自分が管理しているNext.jsのプロジェクトと、それぞれのバージョンを一覧にしておく
• クライアント案件については、アップデート作業の連絡先と作業可能な時間帯を確認しておく
• ステージング環境でのアップデート検証とロールバック手順を用意しておく
• 依存関係の更新を自動化している場合は、14日以降のリリースを拾える状態か確認する

10月14日以降は、公開されるアドバイザリで対象バージョンを確認し、該当するプロジェクトをパッチ適用済みバージョンへ上げる。深刻度にCriticalが含まれるため、後回しにしないほうがよい。

Next.jsのセキュリティプログラムはVercelのOpen Source Bug Bounty（HackerOne）を通じて運用されており、脆弱性管理に関する問い合わせはsecurity@vercel.com宛てとされている。