Next.jsも更新が必要？｜2026年10月の脆弱性と、制作会社に確認すること

新しい技術でサイトを作っても、公開後の更新は必要です。2026年10月14日、Next.jsは外部ライブラリに関連する脆弱性への修正版を公開しました。Next.jsは、公開ページだけでなく、ログインやフォームなどのサーバー処理にも使われる制作ツールです。

この記事は2026年10月14日のNext.js公式発表を基にしています。制作・運用を依頼している事業者が、担当者へ確認する内容をまとめました。

「Next.jsを更新した」が、どこまで終わったかを聞く

利用中のサイトが対象か、対応が済んでいるかを制作・運用担当者へ聞きます。機能名が分からない場合は、サイトのURLと公式発表のリンクを渡せます。

更新作業は、コードの変更から本番への反映まで段階があります。依頼する側は、担当者から次の報告を受け取ると、どこまで終わったかを把握できます。

コードの依存関係を書き換えただけで終わらず、実際の公開環境へ反映する必要があります。サーバーを管理する会社と制作会社が別なら、両者の分担も確認します。

対象かどうかの判断は、制作・運用担当者へ依頼します。次の表はその確認に使う共有資料です。10月14日の公式発表に記載された問題を整理しています。

対象の機能・条件	想定される影響
App RouterとCache Componentsを使い、特定の形式のデータを返す処理	認証なしで意図しないコードを実行される可能性
glibcを使うLinux上の画像最適化処理に関連する部品	意図しないコードを実行される可能性。CVE-2026-96889
App RouterでServer Actionsを使う処理	CPUの過大な使用によるサービス停止の可能性

10月14日の発表で案内された修正版は16.4.1と15.5.28です。利用中の版に合う更新経路と、それ以降の修正も担当者に確認してもらいます。似た処理がないという自己判断で更新を省かず、公式の適用案内に従ってください。対象と修正の詳細

案内ページが中心のサイトでも、フォームや画像の処理にサーバー機能を使う構成があります。反対に、Next.jsで作っていても、生成済みファイルだけを配信する方式もあります。Next.jsの静的出力の説明

技術名だけで影響を判定せず、実際に使っている機能を確認してもらいます。静的に配信する範囲と、サーバー側で処理する範囲が分かれば、更新の担当も決めやすくなります。

Next.js、実行環境のNode.js、画面やサーバー処理に関わるReactには、それぞれ更新情報があります。使っている版と更新担当者を、製品ごとに確認してください。

10月21日のNode.js更新は、別の記事で整理しています。各製品の公式案内と、配信事業者の対応範囲を確認する運用にします。

会社・店舗の案内を新たに作る場合、当社はAstroによる静的サイトを基本にします。会員サービスや業務システムは、必要な処理に合わせて構成を選びます。いずれも、使っている部品の更新を確認する担当者と、反映する手順が必要です。

ホームページの構成の選び方では、この区別を説明しています。コードや設定を自分で変更する際の相談先として、技術顧問・初回レビューも用意しています。緊急時の修正や復旧は、現在の運用担当者と先に対応を進めてください。