【リリース日報】Next.js v16.4.1 緊急セキュリティ修正ほか4件

本日は監視対象のうち4件で新リリースが確認されました。最大の注目点はNext.js v16.4.1で、Unauthenticated RCE（未認証の遠隔コード実行）のCritical脆弱性2件を含む緊急セキュリティパッチです。あわせてDockerもcontainerdの脆弱性修正を含むパッチをリリースしており、セキュリティ対応が中心の一日となりました。

本日のリリースサマリー

フレームワーク	バージョン	タイプ	カテゴリ
Next.js	v16.4.1	minor	frontend
Astro	@astrojs/vue@7.1.0	minor	frontend
Angular	v22.2.3	patch	frontend
Docker	v29.9.1	patch	infra

注目リリースの詳細解説

Next.js v16.4.1

minor（バージョン番号上はminorですが、内容はCriticalなセキュリティパッチです）

2026年10月14日にリリースされた本バージョンは、以下3件のセキュリティアドバイザリに対応する緊急パッチです。

Critical: use cache 関数がtyped arrayを返す際の未認証RCE（GHSA-673q-mjm6-r5xr）
Critical: SVGファイルを扱う場合のImage Optimization APIにおける未認証RCE（GHSA-2464-fhr4-w9xw）
High: App RouterでServer Actionsを使用している場合のDoS（GHSA-p3m5-59mp-jv5r）

未認証でRCEが成立するCritical脆弱性が2件含まれているため、バージョン表記上は「minor」でも実質的な優先度は最高レベルです。use cache、SVGを扱うImage Optimization API、Server Actionsのいずれかひとつでも本番環境で使用している場合は、他のリリースより先に適用を検討してください。

詳細は個別ページ「Next.js v16.4.1」で解説しています。

GitHubリリースページ: https://github.com/vercel/next.js/releases/tag/v16.4.1

マイナー/パッチリリース一覧

Astro @astrojs/vue@7.1.0（minor）

Vue統合パッケージの最小対応Node.jsバージョンを22.22.0に引き上げ。StackBlitzが対応する最新のNode.js 22系に合わせた変更で、AstroのNode.js support policyに準拠したもの
Astro本体（core）のバージョンではなく、Vue統合パッケージ単体のリリースである点に注意

Angular v22.2.3（patch）

セキュリティ強化: パラメータエンコーディングを強化し、プロトタイプポリューション（prototype pollution）クラスの攻撃に対する耐性を向上
バグ修正（compiler）: @boundary ブロックのcontrol flowコンテンツプロジェクション診断チェック、ReadTemporaryExpr.isEquivalent のオペランド比較、セレクタ内コメントのスコープ処理など複数件を修正
個別のCVE/GHSA番号は公開されていませんが、防御的なハードニングのコミットが中心です

Docker v29.9.1（patch・セキュリティ修正あり）

containerdを v2.4.2 に更新し、2件の脆弱性を修正
- CVE-2026-95839: transfer serviceでのイメージpull/import時、子descriptorが io.containerd.manifest.subject アノテーションと不正なdigestを含む場合にcontainerdがクラッシュ
- GHSA-8647-2jxj-p2rc: concurrent_layer_fetch 有効時、信頼できないレジストリが不正な Content-Length ヘッダーを返すとcontainerdがクラッシュ
いずれもDoS系の脆弱性で、信頼できないレジストリと通信する環境では早めの適用を推奨します

詳細は各個別ページ（Astro、Angular、Docker）で解説しています。

EOL / サポート期限情報

endoflife.dateのデータから、3ヶ月以内にEOL（またはEOL間近）となるバージョン系統をまとめました。

プロダクト	バージョン系統	ステータス	EOL日
Next.js	15	まもなくEOL	2026-10-21
Kubernetes	1.34	まもなくEOL	2026-10-27
PostgreSQL	14	まもなくEOL	2026-11-12
Angular	20	まもなくEOL	2026-11-28
Spring Boot	4.0	まもなくEOL	2026-12-31

特にNext.js 15系は残り5日とかなり迫っています。本日のv16.4.1は緊急セキュリティパッチでもあるため、Next.js 15を本番運用しているチームは、セキュリティ対応とEOL移行を同時に検討する良い機会といえます。LTSのNext.js v16系へまだ移行していない場合は、今週中に移行計画を確認してください。

Kubernetes 1.34、PostgreSQL 14も1ヶ月前後でEOLを迎えるため、クラスタ更新やDBバージョンのアップグレード計画を並行して進めておくとよいでしょう。

エコシステム動向

npm/PyPIのパッケージレジストリを見ると、以下の動きが確認できます。

Next.js: npm上の安定版も 16.4.1 に更新され、本日のセキュリティパッチが反映済みです。canaryタグは 16.5.0-canary.14 まで進んでおり、次のマイナーリリースに向けた開発が継続しています
React: 安定版は 19.3.1。canary / experimentalチャンネルも並行して動いており、19.3.0-canary-098d2e87-20261015 が最新です
Astro: npm上のcoreパッケージ最新版は 7.4.0 で、本日リリースされたVue統合（7.1.0）とはバージョン系統が別である点に注意してください
TypeScript: 安定版は 7.0.2、nextタグは 7.1.0-dev.20261015.1 という日次ビルドが継続配信されています

いずれも大きなdist-tagsの昇格（next→latest等）は本日時点では確認されていません。

まとめ

本日はNext.js v16.4.1の緊急セキュリティパッチが最大の注目点です。未認証RCEのCritical脆弱性2件を含むため、use cache・SVG画像最適化・Server Actionsのいずれかを本番で使用しているチームは優先的な対応を推奨します。Dockerのcontainerd脆弱性修正も、信頼できないレジストリと通信する環境では早めに適用を検討してください。加えてNext.js 15のEOLが残り5日に迫っているため、v15を運用中のチームはセキュリティ対応とあわせて移行計画を確認することをおすすめします。

データソース: GitHub Releases API, endoflife.date, npm Registry, PyPI AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

export const releaseTypeData = [
  {"name": "Major", "count": 0, "color": "#dc2626"},
  {"name": "Minor", "count": 2, "color": "#f97316"},
  {"name": "Patch", "count": 2, "color": "#22c55e"},
  {"name": "Prerelease", "count": 0, "color": "#6366f1"}
];

export const categoryData = [
  {"name": "frontend", "count": 3},
  {"name": "infra", "count": 1}
];

export const dailySummaryData = [
  {
    "id": "nextjs-16.4.1",
    "title": "Next.js v16.4.1 緊急セキュリティパッチ（Critical RCE x2）",
    "priority": "high",
    "actionRequired": "required",
    "targets": ["Next.js利用者", "use cache利用者", "Image Optimization API利用者", "Server Actions利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "本番環境のNext.jsを直ちにv16.4.1へ更新し、対象3機能の利用有無を確認する"
  },
  {
    "id": "astro-vue-7.1.0",
    "title": "@astrojs/vue@7.1.0 Node.js最小バージョン引き上げ",
    "priority": "medium",
    "actionRequired": "recommended",
    "targets": ["Astro + Vue統合利用者"],
    "changeCategory": "仕様変更",
    "quickAction": "CI/CD環境のNode.jsを22.22.0以上に更新する"
  },
  {
    "id": "angular-22.2.3",
    "title": "Angular v22.2.3 パッチ（プロトタイプポリューション対策含む）",
    "priority": "medium",
    "actionRequired": "recommended",
    "targets": ["Angular 22系利用者"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "Angular 22系をv22.2.3へ更新する"
  },
  {
    "id": "docker-29.9.1",
    "title": "Docker v29.9.1（containerd脆弱性2件を修正）",
    "priority": "high",
    "actionRequired": "recommended",
    "targets": ["Docker利用者", "外部/信頼できないレジストリと通信する環境"],
    "changeCategory": "セキュリティ修正",
    "quickAction": "Docker Engineをv29.9.1へ更新し、containerdがv2.4.2以上か確認する"
  }
];