つみかさね

CVE-2026-96889

Critical(9.3)

Next.jsのImage Optimization RCE脆弱性 CVE-2026-96889：影響範囲と対応方法

公開日: 2026-10-28データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
nextVercel< 15.5.28
nextVercel< 16.4.1

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1Next.jsとsharpのバージョンを確認する
  2. 2Next.jsを15.5.28または16.4.1以降へアップデートする
  3. 3アップデートが困難な場合は`npm ls sharp`でsharpを個別に0.35.5以降へ更新する

影響対象

Next.js (Image Optimization利用者)

対応不要な人

  • ✓Next.jsを使用していない
  • ✓Image Optimization APIを使用していない
  • ✓すでに修正版（15.5.28 / 16.4.1以降）を使用している

補足

  • -CVE番号未割当のGHSA-673q-mjm6-r5xr（'use cache'関数のRCE）も同時期に公開されているため合わせて確認してください
CVENext.jsRCEsharp

30秒で判断

  • 対応すべき人: Next.jsのImage Optimization APIを使用し、glibcベースのLinuxで動かしている人
  • 対応不要な人: Image Optimization APIを使用していない、またはすでに修正版のsharpを利用している人
  • 確認コマンド: npm ls sharpでバージョンを確認（0.35.5未満なら要対応）

概要

Next.jsのImage Optimization APIが依存する画像処理ライブラリsharpに、メモリ関連の脆弱性がありました。glibcベースのLinux上でNext.jsを実行し、SVGファイルを処理する構成では、未認証のリモートコード実行につながる可能性があります。

なお、CVSSスコアはNVDのCVSS v4.0ベクトル（AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）から算出した推定値です。

CVSSベクトル

項目内容
CVSSスコア9.3相当（CVSS v4.0ベクトルより算出、Critical）
攻撃元ネットワーク経由、認証不要
想定される影響リモートコード実行

影響を受けるソフトウェア

製品影響バージョン
next< 15.5.28
next< 16.4.1

修正バージョンと回避策

Next.jsを15.5.28または16.4.1以降へアップデートしてください。新規インストールでは修正済みのsharpが自動的に適用されます。既存環境では、Next.jsを更新することでパッケージマネージャが修正版のsharp（0.35.5以降）を解決します。

関連リンク

データソース: OSV (Google), GitHub Advisory Database, NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-94482Next.js App Router Server ActionsのDoSCVSS 7.5
CVE-2026-103004Next.jsのnested 'use cache'関数間でのキャッシュ漏洩CVSS 5

参考リンク

GHSA:https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw
NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-96889
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。