【リリース日報】Next.js 16.3.0がlodash脆弱性CVE修正ほか計5件

本日は監視対象リポジトリで5件のリリースを確認しました（メジャー2件・プレリリース3件）。最大の注目は Next.js v16.3.0 で、同梱していた lodash の脆弱性 CVE-2025-13465 の修正を含みます。あわせて Laravel v13.25.0 の細かな改善、Terraform v1.15.8 のバグ修正も届いています。

リリースサマリー

注目リリースの詳細

Next.js v16.3.0

prerelease ／ セキュリティ修正あり

今回のリリースで一番見ておきたいのはセキュリティ修正です。主な変更点は次のとおりです。

• 同梱 lodash を 4.17.23 に更新し CVE-2025-13465 を修正（#91558）。Next.js が内部でベンダリングしている lodash 由来の脆弱性への対応です。
• デプロイアダプタで、route レベルの RSC リクエストに対する不正な HTML レスポンスを修正（#91541）。
• App Router のルートで、エンコードされた動的プレースホルダを正規化（#91603）。
• Pages Router で /_next/data/ の JSON レスポンスに Content-Length と ETag を復元（#90304）。
• 内部依存 tokio を 1.43.0 から 1.47.3 へ更新（#90945）。
• Turbopack 関連の改善（app route handler の server HMR 有効化、webpack loader での importModule() サポート追加など）。

破壊的変更は含まれていません。16系を利用中であれば、セキュリティ修正を取り込むためにも早めのアップデートを推奨します。詳細は 個別ページ と GitHub リリースノート をご覧ください。

Laravel v13.25.0

major ／ バグ修正・機能改善

13.x / 12.x にまたがるバグ修正と使い勝手の改善が中心です。

• スキーマビルダに foreignUlidFor ヘルパーを追加（13.x）。ULID を主キーに使う設計での外部キー定義が楽になります。
• Arr::prependKeysWith() の戻り値型を改善（13.x）。
• Factory::insert() を件数ゼロで呼んだ際の不具合を修正。
• schedule:list で range / step / ワイルドカードを含む cron 式のタイムゾーン変換を修正。
• DatabaseQueue への一括 push で after-commit ディスパッチを尊重するよう修正。

破壊的変更はなく、既存の 13.x 利用者は通常のマイナー更新として取り込めます。詳細は 個別ページへ。

マイナー / パッチ一覧

• Terraform v1.15.8 — localterraform.com のようなサービスディスカバリのエイリアス経由で配布される provider をインストールする際の terraform init エラーを修正。provider インストール処理のログメッセージ調整に関する Notes も付いています。
• Vue v3.5.41 — 3.5 系の安定版パッチ。詳細は公式 CHANGELOG を参照する形式のリリースで、本文に個別の変更点記載はありません。
• Astro @astrojs/cloudflare@14.2.1 — Cloudflare アダプタの peer 依存レンジを ^7.0.0 から ^7.2.0 へ修正。astro/app から 7.2.0 で追加されたシンボルを import するため、それ以前では build 時に MISSING_EXPORT エラーになる問題への対応です（Astro コア本体ではなくアダプタのパッチ）。

EOL / サポート期限情報

本日リリースのあったフレームワークについて、サポート期限も確認しておきましょう。

• Next.js 15: EOL は 2026-10-21。まだ猶予はありますが、16系への移行計画を立て始めてよい時期です。Next.js 14 以前（14 / 13 / 12）は既に EOL です。
• Laravel 11: 2026-03-12 に EOL 済み。11以前を使っている場合は 12 / 13 系への移行を検討してください。
• Vue 3.4 以前: 3.4（2024-09-03）などは EOL 済み。3.5 系は現行サポート対象です。
• Terraform 1.13 以前: 1.13（2026-04-29）は EOL 済み。1.14 / 1.15 系が現行です。

エコシステム動向

• npm の next は latest が 16.3.0 に。canary は 16.3.1-canary 系が進行中です。
• typescript は latest が 7.0.2、next タグで 7.1.0-dev 系が動いています。
• vite は 8.2.1 が latest。フロントエンドのビルドツール周りも世代が進んでいます。

まとめ

本日の最重要ポイントは Next.js 16.3.0 のセキュリティ修正（CVE-2025-13465）です。破壊的変更はないため、16系利用者はテスト環境での軽い確認後、速やかにアップデートするのがおすすめです。Laravel・Terraform はいずれもバグ修正中心で、該当機能を使っていれば取り込む価値があります。EOL 済みの旧メジャー（Laravel 11、Next.js 14 以前など）を使い続けているプロジェクトは、この機会に移行スケジュールの見直しを。

データソース: GitHub Releases API, endoflife.date, npm Registry, PyPI AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。