Next.js に未認証のリモートコード実行が 2 件（Critical）と、App Router の Server Actions を突く Denial of Service（High）。修正は Active LTS の 16.4.1 と Maintenance LTS の 15.5.28。

  • use cache（GHSA-673q-mjm6-r5xr、CVSS 9.5）: Cache Components で複数の typed array を返すと未認証 RCE。16.0.0 以上 16.4.0 以下。回避策なし。
  • Image Optimization（CVE-2026-96889、CVSS 9.5）: glibc Linux 上で SVG を扱うと上流ライブラリ由来の未認証 RCE。10.0.0 以上 15.5.27 以下と 16.0.0 以上 16.4.0 以下。
  • Server Actions（GHSA-p3m5-59mp-jv5r、CVSS 8.2）: 細工リクエストで同一プロセスの CPU を占有。13.0.0 以上 15.5.27 以下と 16.0.0 以上 16.4.0 以下。Pages Router のみ、または Server Actions 未使用なら対象外。

対処は 15.5.28 または 16.4.1 への更新。use cache は該当関数が無くても即時更新が必要で、Image Optimization の暫定回避は Next.js が使う sharp を 0.35.5 以上に固定すること。

bash
npm install next@15.5.28  # for 15.5
npm install next@16.4.1   # for 16.4

#参考文献