本日は監視対象リポジトリのうち1件で新リリースが確認されました。注目は Next.js v16.3.0。同梱していた lodash の脆弱性 CVE-2025-13465 を修正するセキュリティ対応が含まれる minor リリースで、16系を使っているプロジェクトは早めの更新がおすすめです。
リリースサマリー
| フレームワーク | バージョン | タイプ | カテゴリ |
|---|---|---|---|
| Next.js | v16.3.0 | minor | frontend |
Next.js v16.3.0
minor ／ セキュリティ修正あり
16.2系からの minor アップデートですが、地味ながら実務に効く修正がまとまっています。主な変更点は次のとおりです。
- CVE-2025-13465 の修正: 同梱している lodash を 4.17.23 に更新し、既知の脆弱性を解消しました（#91558）。セキュリティ修正なので、これが今回更新を推奨する最大の理由です。
- デプロイアダプタの RSC レスポンス修正: ルートレベルの RSC リクエストで不正な HTML レスポンスが返る問題を修正（#91541）。
- Pages Router の互換性修正:
/_next/data/の JSON レスポンスでContent-LengthとETagを復元（#90304）。キャッシュ挙動が正常化します。 - App Router のエンコード済み動的プレースホルダの正規化（#91603）。
- Turbopack の改善: app route handler のサーバー HMR 有効化（#91466）、webpack ローダーへの
importModule()サポート追加（#89630）、スナップショット処理やダーティタスクのバッチ化などパフォーマンス関連の改善が多数。内部依存の tokio も 1.43.0 → 1.47.3 に更新されています（#90945）。
破壊的変更は含まれていません。16.2系からの更新であればコード修正なしで移行できる想定ですが、セキュリティ修正を含むためテスト環境での動作確認のうえ本番反映を推奨します。
EOL / サポート期限情報
3ヶ月以内にサポート終了を迎えるバージョンがあります。移行計画の見直しをおすすめします。
| 製品 | サイクル | EOL | 状態 |
|---|---|---|---|
| Next.js | 15 | 2026-10-21 | 接近中 |
| Kubernetes | 1.34 | 2026-10-27 | 接近中 |
| Python | 3.10 | 2026-10-31 | 接近中 |
また、Next.js は 14（2025-10-26 EOL）・13・12 が既にサポート終了しています。これらのバージョンで運用中の場合、今回のような脆弱性修正が届かないため、最低でも 15 系、可能なら 16 系への移行を計画しましょう。Next.js 15 も残り約2ヶ月半でEOLを迎えるため、腰を据えるなら 16 系がおすすめです。
エコシステム動向
npm レジストリでは Next.js の latest が 16.3.0 に更新されました。canary は 16.3.1-canary.9、preview は 16.3.0-preview.10 が公開されており、16.3.1 に向けた開発が進んでいます。React は latest が 19.2.8 で据え置き、次期系列は 19.3.0-canary が進行中です。TypeScript は latest が 7.0.2、next に 7.1.0-dev 系列が動いています。
まとめ
本日の実質的な注目は Next.js 16.3.0 の一点です。破壊的変更のない minor リリースながら、CVE-2025-13465 のセキュリティ修正を含むため、16系利用者は優先度高めで更新を検討してください。あわせて、10月末にかけて Next.js 15・Kubernetes 1.34・Python 3.10 がEOLを迎えます。夏のうちに移行のロードマップを引いておくと、秋の駆け込み対応を避けられます。
データソース: GitHub Releases API, endoflife.date, npm Registry, PyPI AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。