Next.js に Critical の脆弱性 2 件、use cache 関数と画像最適化 API でコード実行の恐れ（CVE-2026-96889 ほか）: 16.4.1・15.5.28 で修正

Web フレームワーク Next.js の 10/14（UTC）のリリース 16.4.1 と 15.5.28 で、深刻度 Critical の脆弱性 2 件が修正され、GitHub の勧告は 10/22 に公開されました。1 件は use cache 関数が返す型付き配列に関するもの（GHSA-673q-mjm6-r5xr）、もう 1 件は画像最適化 API で SVG を扱うときのもの（GHSA-2464-fhr4-w9xw）です。どちらも、認証なしでリモートからコード実行につながり得ると勧告は説明しています。CISA の KEV には、確認した範囲では載っていません。

2 件の概要

項目	use cache と型付き配列	画像最適化 API と SVG
勧告	GHSA-673q-mjm6-r5xr	GHSA-2464-fhr4-w9xw
CVE	割り当てなし（確認時点）	CVE-2026-96889（Next.js 側の勧告に紐づく）
深刻度	Critical（GitHub 提供の CVSS v4.0 は 9.5）	Critical（GitHub 提供の CVSS v4.0 は 9.5）
弱点	CWE-502（信頼できないデータのデシリアライズ）	CWE-1395（脆弱なサードパーティ部品への依存）
対象	16.0.0 以上 16.4.0 以下	10.0.0 以上 15.5.27 以下、16.0.0 以上 16.4.0 以下
修正版	16.4.1	15.5.28、16.4.1

1. use cache 関数と型付き配列

• 勧告によると、App Router の Cache Components を使うアプリで、複数の型付き配列（typed arrays）を返す use cache 関数がある場合に、リモートからのコード実行が起き得ます。
• 回避策は「知られていない」と勧告にあります。該当する関数がないアプリでも、すぐ更新するよう求めています。
• 修正コミット a4cea6a（10/14 UTC）は、React Server Components の転送プロトコルの改良として、react-server-dom の各ファイルを更新するものです。変更が大きく、どの変更が今回の不具合の直接の修正かは、公開情報だけでは特定できていません（未確認）。

2. 画像最適化 API と SVG

• 勧告によると、画像最適化に使われる上流のライブラリのメモリ関連の不具合が、glibc ベースの Linux で Next.js を動かしているときに、コード実行につながり得ます。SVG ファイルを扱う場合が該当します。
• 勧告の回避策は、Next.js が使う画像ライブラリ sharp を 0.35.5 以上にすることです。新規インストールでは自動で修正版が入り、Next.js を修正版へ上げれば、パッケージ管理ツールが修正済みの sharp を入れます。
• 修正コミット 5e3b687（15.x 向け）と 9571ec8（16.x 向け）は、どちらも sharp の依存版を上げる変更です。sharp 0.35.5 は 9/27（UTC）に公開されています。
• CVE-2026-96889 は、NVD では librsvg（SVG を描画するライブラリ）の XInclude 処理で起きる解放後使用（use-after-free）として記載されています。Next.js の勧告との対応は、勧告の参照とリポジトリ側の記録からの読み取りです。sharp が内部でどの部品を使うかの詳細は未確認です。

同じリリースで直った不具合

16.4.1 のリリースノートには、High の「App Router の Server Actions によるサービス拒否」（CVE-2026-94482）も並んでいます。この記事では扱いません。

影響を受ける版と条件

• 画像最適化 API の件は、Next.js 10 系から 15.5.27 まで、および 16.0.0〜16.4.0 が対象です。古い版のアプリも含まれます。
• use cache の件は 16 系だけが対象で、use cache と Cache Components を使っていることが前提です。
• 画像最適化の件は、glibc ベースの Linux で動かしている場合と勧告にあります。musl ベース（Alpine など）が影響を受けるかは、勧告に書かれておらず未確認です。
• 自社のアプリで該当するかは、next の版、use cache の使用、画像最適化（next/image）の使用、SVG を扱う設定で確かめられます。

対応

1. Next.js を 16.4.1（16 系）または 15.5.28（15 系）以上に更新します。
2. 15 系より古い版（10〜14 系）を使っている場合は、修正が提供される版を勧告で確かめ、15.5.28 以上への移行を計画します（14 系以前の修正版は公開情報では確認できていません）。
3. package-lock などで sharp の版を確かめ、0.35.5 以上になっていることを確認します。
4. すぐ更新できない場合は、画像最適化 API の利用範囲を絞る（外部の画像の取り込みを許可リストで限る）、SVG の取り扱いを見直す、といった対策が考えられます。これは本記事の推定で、勧告が示す回避策ではありません。
5. Next.js を動かすサーバーで、心当たりのないプロセス起動、外向きの通信、異常終了がなかったかを確認します。

未確認の点

• NVD では、CVE-2026-96889 の状態は「Awaiting Analysis」（10/30 更新）で、NVD 自身の CVSS の評価はまだありません。use cache の件は、NVD に該当する CVE を見つけられませんでした。
• EPSS は CVE-2026-96889 が 0.56%（10/30 時点）です。use cache の件は CVE がないため、EPSS はありません。
• 悪用の報告は見つかっていません。KEV 掲載もなしです。
• 勧告の公開（10/22）は、修正版の公開（10/14 UTC）の 8 日後です。この間の経緯は未確認です。
• 実際の環境での再現は確認していません。記載は勧告、修正コミット、公開情報に基づきます。