30秒で判断
- 対応すべき人: Next.js 16.x（16.3.2 以前）または該当する 15.x を本番/公開環境で利用している人。特に Windows でホストしている、または
next/imageの画像最適化APIを有効にしている環境。 - 対応不要な人: Next.js を使っていない人／影響を受けない旧安定版で該当機能（Windowsホスト・画像最適化）を一切使っていない人／すでに 16.3.3 以降へ更新済みの人。
- 確認コマンド:
npx next --version（またはcat node_modules/next/package.json | grep '"version"'）で現在のバージョンを確認。
この変更が意味すること
Next.js 16.3.3 はバージョン番号こそ 16.3.2 からのパッチ更新ですが、内容は深刻度 Critical のセキュリティ修正 2 件です。いずれも「認証不要(Unauthenticated)」の**リモートコード実行(RCE)**であり、攻撃者が事前のログインなしに悪用できる可能性があります。
外部公開しているアプリケーションでは、攻撃者が直接到達できる攻撃面になり得ます。通常のパッチと違い、機能検証を待つよりもセキュリティ対応を優先する判断が妥当なケースです。
主な変更点
このリリースは以下のアドバイザリに対応するセキュリティ修正を含みます。
1. Windowsホスト上の認証不要RCE（GHSA-p293-qw3h-jr36）
Windows でホストされたサーバーにおいて、認証されていないリモートコード実行が可能となる脆弱性が修正されました。Windows 環境で Next.js サーバーを運用している場合に該当します。
2. 画像最適化APIのAVIF処理を突く認証不要RCE（GHSA-2xp9-vwfh-vxw4）
Image Optimization API において、AVIF ファイルが使われた際に認証不要のリモートコード実行が可能となる脆弱性が修正されました。next/image などで画像最適化を有効にしている環境が対象です。
EOL / サポート状況
| サイクル | 最新 | 状況 | EOL予定 |
|---|---|---|---|
| 16 | 16.3.3 | active (LTS) | 未定 |
| 15 | 15.5.x | active | 2026-10-21 |
| 14 | 14.2.35 | EOL | 2025-10-26 |
| 13 | 13.5.11 | EOL | 2024-12-21 |
Next.js 15 は 2026年10月21日にEOL予定です。今回のセキュリティ対応を機に、16 系への移行計画も検討するとよいでしょう。
開発者への影響
- まず
npx next --versionで現行バージョンを確認する。 - Windowsホストでの運用、または画像最適化APIの利用有無を棚卸しする（該当すると優先度が上がる）。
- テスト環境で 16.3.3 へ更新し、ビルドと主要フローを確認する。
- 本番環境へ適用し、動作確認を実施する。
アップデート方法
# npm
npm install next@16.3.3
# yarn
yarn add next@16.3.3
# pnpm
pnpm add next@16.3.3
GitHub リリースページ: https://github.com/vercel/next.js/releases/tag/v16.3.3
データソース: GitHub Releases API, endoflife.date, npm Registry AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。