情報処理教育研究センターからのお知らせです。
Web アプリの開発基盤「Next.js」において、認証なしで遠隔からコードを実行されうる脆弱性が報告されています。
Webサイトを管理している場合、以下の手順で利用状況の確認およびアップデート対応をお願いいたします。
────────────────────
■対象サイトの確認
対象の Web サイトをブラウザで開き、ページ内で右クリックして「ページのソースを表示」を選択してください。
・「/_next/」というパスが含まれる場合：対象（Next.jsを使用）
■ 必要な対応（Next.js を使用している場合）
以下のバージョン以降へのアップデートを実施してください。
next ： 16.4.1 以上
sharp ： 0.35.5 以上
【注意・補足事項】
・自動診断の注意：10/14公表分のNext.js本体の脆弱性は npm audit で検出されません。必ず package.json 等でバージョン番号を直接ご確認ください（sharp のみ検出可）。
・旧バージョンのサポート：15.x系は本日（10/21）でサポート終了、13.x/14.x系は修正版がありません。最新（16.x系）への移行をご検討ください。
・対象環境：自社・学内サーバーに加え、Vercel 等のクラウドサービス（PaaS）上で動くWebサイトも対象です。
■公式情報
・10/14セキュリティアップデート：https://nextjs.org/blog/nextjs-security-update-october-14-2026
・脆弱性アドバイザリ一覧：https://github.com/vercel/next.js/security/advisories
────────────────────
ご確認のほど、よろしくお願いいたします。
