30秒で判断
- 対応すべき人: Next.js アプリを Windowsファイルシステム上でホストしている運用者（Pages Router / App Router を利用し Cache Component 未使用）
- 対応不要な人: Linux / macOS 等の非Windows環境でホストしている場合、または既に修正版を使用している場合
- 確認コマンド:
npm ls next（またはpnpm why next/yarn why next）でバージョンを確認
概要
CVE-2026-75604 は、Next.js アプリケーションを Windowsファイルシステムを使うマシン上でホストしている場合に、未認証のリモート攻撃者によるコード実行（RCE）に至る脆弱性です。Pages Router と App Router のいずれでも、Cache Component を使用していない構成が影響を受けます。
CVSSスコアは約 9.0（Critical） と非常に高く、認証を必要とせずネットワーク経由で悪用されうる点が深刻です。既知の回避策は提供されていないため、Windows上で稼働している場合はアップグレードが唯一の対処となります。
CVSSベクトル
| 指標 | 値 |
|---|---|
| 攻撃元区分 (AV) | Network |
| 攻撃条件の複雑さ (AC) | High |
| 必要権限 (PR) | None |
| ユーザー関与 (UI) | None |
| スコープ (S) | Changed |
| 機密性/完全性/可用性 (C/I/A) | High / High / High |
影響を受けるソフトウェア
| 製品 | パッケージ | 影響バージョン |
|---|---|---|
| Next.js | next (npm) | < 15.5.24（15.x系） / < 16.3.3（16.x系） ※Windowsホスト時 |
修正バージョンと回避策
- 修正バージョン:
15.5.24/16.3.3以降へアップデート - 回避策: 影響環境向けの既知の回避策はありません。Windows上でホストしている場合は速やかにアップグレードしてください。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。