【リリース日報】Next.js 16.3.6 でRCE修正・Angular 22.2.0 ほか2件

本日は監視対象リポジトリのうち2件で新リリースが確認されました。最大の注目点は Next.js v16.3.6 で、next/og の ImageResponse に存在したリモートコード実行（RCE）脆弱性を修正するセキュリティリリースです。加えて Angular v22.2.0 がテンプレート機能の拡張を含むマイナーアップデートとして登場しました。

リリースサマリー

セキュリティリリースの詳細

Next.js v16.3.6

今回の 16.3.6 は、next/og の ImageResponse におけるリモートコード実行（RCE）脆弱性 GHSA-vcvr-r3jv-pc5j を修正するセキュリティリリースです。

• 影響: ImageResponse（OG画像の動的生成など）を利用しているアプリケーションが対象です
• 対応: パッチリリースのため破壊的変更はありません。next/og を使っている場合はお早めの更新を推奨します
• リリースページ: v16.3.6

OG画像生成は多くのサイトで導入されている機能なので、心当たりのある方はまず利用箇所を確認しておきましょう。詳しくは Next.js v16.3.6 個別ページ にまとめています。

マイナー / 機能追加リリース

Angular v22.2.0

Angular 22系のマイナーアップデートです。リリースノート（compiler / compiler-cli）から主な変更点を抜粋します。

• テンプレートから private プロパティへのアクセスを許可（compiler の feat）
• strictUnclaimedEventNames オプションの追加（compiler-cli）— 出力バインディングのタイプミスを検出できるようになりました
• ネストしたCSSルールのスコープ処理を修正、::ng-deep を含む親セレクタ配下ではネストセレクタをカプセル化しないよう修正（compiler の fix）

破壊的変更を含まない機能追加中心のリリースです。詳細は Angular v22.2.0 個別ページ を参照してください。

EOL / サポート期限情報

サポート終了が近いバージョンがいくつかあります。特に Next.js 15 は期限が目前です。

Next.js 15 系は 2026-10-21 でEOLを迎えます。まだ 15 系を利用している場合は、今回セキュリティ修正が入った 16 系（最新 16.3.6）への移行計画をそろそろ具体化しておきたいところです。

エコシステム動向

npm レジストリでは、Next.js の latest タグが 16.3.6 に更新されています。Angular（@angular/core）は latest が 22.2.0、next タグは 22.2.0-rc.0 となっており、22.2 系が安定版に到達した状態です。

その他、監視中のパッケージでは TypeScript が latest 7.0.2、Vite 8.3.1、Prisma は 8.0.0-rc.17 がRC段階と、次期メジャーの動きも続いています。

まとめ

本日の最重要ポイントは、Next.js 16.3.6 のRCEセキュリティ修正です。next/og の ImageResponse を使っているプロジェクトは、影響範囲を確認のうえ早めの適用を検討してください。破壊的変更はないため、パッチ適用のハードルは低めです。

Angular 22.2.0 は破壊的変更のない機能追加リリースで、strictUnclaimedEventNames によるバインディングミス検出などが便利です。あわせて、Next.js 15 の EOL が1ヶ月を切っている点にも注意し、16 系への移行タイミングを計画に織り込んでおきましょう。

データソース: GitHub Releases API, endoflife.date, npm Registry, PyPI AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。