Next.jsが16.3.6／15.5.26を予告、臨時セキュリティ更新に備える

Next.jsは上流依存関係の重大なセキュリティ問題に対応するため、2026年9月22日に16.3.6と15.5.26の臨時公開を予定しています。影響範囲の詳細は正式勧告を待ちつつ、稼働バージョンの把握と公開後の更新準備を進める段階です。

こはるの読みどころ

修正版の番号と、影響を受けるバージョンの範囲は別の情報だよ。今の環境を整理して、正式勧告が出たらすぐ照合できるようにしておこう。

Next.jsの臨時セキュリティ更新が予告されました。運用しているアプリがあると、「公開されたらすぐ更新できるか」と「自分の構成は影響を受けるのか」が気になるところです。

この2つは、判断に必要な情報が少し違います。更新作業の準備は今から進められますが、脆弱性への該当性は正式な影響範囲と照合する必要があります。

2026年9月22日時点で確認できた予告を起点に、16系・15系の更新先と、公開前から揃えておける環境情報を整理していきましょう。

Next.jsの臨時更新は、定期リリースを待たずに提供される予定

2026年9月21日付の公式告知は、上流の依存関係で重大なセキュリティ問題が見つかったとして、2026年9月22日にNext.js 16.3.6と15.5.26を臨時公開する予定を示しています。利用可能になり次第、速やかに更新するよう求めています。

この臨時公開を理解する背景として、Next.jsは2026年7月13日にセキュリティリリースの運用方針を発表しています。おおむね月1回、更新予定と想定される最高深刻度を事前告知する一方、待てない緊急の開示や悪用中の脆弱性には臨時パッチを提供する方針です。

ただし、臨時更新という形式だけで、今回すでに悪用されているとは判断できません。予告が示しているのは上流依存関係の問題であり、その依存先の名前や攻撃条件までは説明されていません。

詳細な影響、対象バージョン、更新手順は、更新と同時に公開予定のGHSA-vcvr-r3jv-pc5jに掲載される予定です。2026年9月22日の調査では勧告本文を取得できておらず、ここでは公開予告の段階として扱います。

16系と15系の更新先を、稼働中のバージョンと照合する

2つの更新先がある理由を考えるうえで、Next.jsのサポート方針が役立ちます。確認時点では16系がActive LTS、15系がMaintenance LTSです。Maintenance LTSでも、重大な不具合修正と必要なセキュリティ更新は提供対象になっています。

したがって、今回の予告には15系向けの更新先もあります。15系の運用担当者は、15.5.26への更新準備を進めながら、正式な手順を待てますね。16系へ移行する作業まで、今回の必須対応だと決めつける必要はありません。

一方、16.3.6と15.5.26は修正版として予定されている番号です。この2つだけから「それ未満はすべて影響を受ける」「14系なら影響しない」といった範囲は導けません。サポート対象かどうかと、特定の脆弱性に該当するかどうかは、分けて判断します。

公開前に環境情報を揃え、正式勧告から更新作業へつなぐ

準備の出発点は、本番アプリごとに現在のNext.jsバージョンを把握することです。依存関係をインストール済みのプロジェクトルートなら、次のコマンドで環境情報を取得できます。

npx next info

next infoの公式リファレンスには、OS、Node.jsなどの実行環境、next・react・react-domのパッケージバージョンを表示すると記載されています。この出力は実行した環境の情報なので、本番へ投入したコミットやロックファイルと対応づけて記録すると、正式勧告との照合に使いやすくなります。

ここからは運用上の準備案です。更新を担当する人と検証環境を決め、修正版が利用可能になったら、勧告にある対象範囲と更新手順を読んで適用先を確定します。その後、依存関係を更新し、既存テストと本番用ビルドを通して再デプロイへ進む流れを用意しておきます。

検証では、公式の本番運用ガイドが案内するnext buildとnext startも参考になります。通常のNext.jsサーバー構成なら、本番向けにビルドして起動し、主要な画面やAPIの動作を試せます。これは互換性を確認する工程であり、ビルド成功だけで脆弱性への対応完了を判定するものではありません。