---
title: "Next.js に Critical の脆弱性 2 件、use cache 関数と画像最適化 API でコード実行の恐れ（CVE-2026-96889 ほか）: 16.4.1・15.5.28 で修正"
url: https://n-t-p.io/worldsecurity/articles/nextjs-use-cache-typedarray-and-image-optimization-rce-16-4-1-2026-10
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年10月31日
updated: 2026年10月31日
severity: 緊急
cve: CVE-2026-96889
---

# Next.js に Critical の脆弱性 2 件、use cache 関数と画像最適化 API でコード実行の恐れ（CVE-2026-96889 ほか）: 16.4.1・15.5.28 で修正

> **TL;DR:** Next.js の 16.0.0〜16.4.0 と 10.0.0〜15.5.27 で、Critical の脆弱性 2 件（use cache 関数の型付き配列は GHSA-673q-mjm6-r5xr、画像最適化 API の SVG は GHSA-2464-fhr4-w9xw・CVE-2026-96889）。認証なしでコード実行の恐れと勧告は説明。修正版は 16.4.1・15.5.28、GitHub 提供の CVSS v4.0 はどちらも 9.5。KEV 掲載なし。

**要点**
- 2 件とも GitHub は Critical（CVSS v4.0 9.5）。認証なしのリモートコード実行につながり得ると勧告は説明している
- use cache の件は 16 系のみが対象で、複数の型付き配列を返す use cache 関数があるアプリが該当。回避策は知られておらず、勧告は更新を求めている
- 画像最適化 API の件は 10.0.0〜15.5.27 と 16.0.0〜16.4.0 が対象。glibc ベースの Linux で SVG を扱うとき。回避策は sharp を 0.35.5 以上にすること
- 修正版は 16.4.1・15.5.28（npm 10/14 UTC 公開）。修正コミットの一部は sharp の依存版の更新。勧告の公開は 10/22
- CVE-2026-96889 は NVD で Awaiting Analysis、EPSS 0.56%（10/30）。use cache の件は CVE なし。KEV 掲載なし

Web フレームワーク Next.js の 10/14（UTC）のリリース 16.4.1 と 15.5.28 で、深刻度 Critical の脆弱性 2 件が修正され、GitHub の勧告は 10/22 に公開されました。1 件は `use cache` 関数が返す型付き配列に関するもの（GHSA-673q-mjm6-r5xr）、もう 1 件は画像最適化 API で SVG を扱うときのもの（GHSA-2464-fhr4-w9xw）です。どちらも、認証なしでリモートからコード実行につながり得ると勧告は説明しています。CISA の KEV には、確認した範囲では載っていません。

## 2 件の概要

| 項目 | use cache と型付き配列 | 画像最適化 API と SVG |
|---|---|---|
| 勧告 | GHSA-673q-mjm6-r5xr | GHSA-2464-fhr4-w9xw |
| CVE | 割り当てなし（確認時点） | CVE-2026-96889（Next.js 側の勧告に紐づく） |
| 深刻度 | Critical（GitHub 提供の CVSS v4.0 は 9.5） | Critical（GitHub 提供の CVSS v4.0 は 9.5） |
| 弱点 | CWE-502（信頼できないデータのデシリアライズ） | CWE-1395（脆弱なサードパーティ部品への依存） |
| 対象 | 16.0.0 以上 16.4.0 以下 | 10.0.0 以上 15.5.27 以下、16.0.0 以上 16.4.0 以下 |
| 修正版 | 16.4.1 | 15.5.28、16.4.1 |

## 1. use cache 関数と型付き配列

- 勧告によると、App Router の Cache Components を使うアプリで、複数の型付き配列（typed arrays）を返す `use cache` 関数がある場合に、リモートからのコード実行が起き得ます。
- 回避策は「知られていない」と勧告にあります。該当する関数がないアプリでも、すぐ更新するよう求めています。
- 修正コミット a4cea6a（10/14 UTC）は、React Server Components の転送プロトコルの改良として、react-server-dom の各ファイルを更新するものです。変更が大きく、どの変更が今回の不具合の直接の修正かは、公開情報だけでは特定できていません（未確認）。

## 2. 画像最適化 API と SVG

- 勧告によると、画像最適化に使われる上流のライブラリのメモリ関連の不具合が、glibc ベースの Linux で Next.js を動かしているときに、コード実行につながり得ます。SVG ファイルを扱う場合が該当します。
- 勧告の回避策は、Next.js が使う画像ライブラリ `sharp` を 0.35.5 以上にすることです。新規インストールでは自動で修正版が入り、Next.js を修正版へ上げれば、パッケージ管理ツールが修正済みの `sharp` を入れます。
- 修正コミット 5e3b687（15.x 向け）と 9571ec8（16.x 向け）は、どちらも `sharp` の依存版を上げる変更です。`sharp` 0.35.5 は 9/27（UTC）に公開されています。
- CVE-2026-96889 は、NVD では librsvg（SVG を描画するライブラリ）の XInclude 処理で起きる解放後使用（use-after-free）として記載されています。Next.js の勧告との対応は、勧告の参照とリポジトリ側の記録からの読み取りです。`sharp` が内部でどの部品を使うかの詳細は未確認です。

## 同じリリースで直った不具合

16.4.1 のリリースノートには、High の「App Router の Server Actions によるサービス拒否」（CVE-2026-94482）も並んでいます。この記事では扱いません。

## 影響を受ける版と条件

- 画像最適化 API の件は、Next.js 10 系から 15.5.27 まで、および 16.0.0〜16.4.0 が対象です。古い版のアプリも含まれます。
- `use cache` の件は 16 系だけが対象で、`use cache` と Cache Components を使っていることが前提です。
- 画像最適化の件は、glibc ベースの Linux で動かしている場合と勧告にあります。musl ベース（Alpine など）が影響を受けるかは、勧告に書かれておらず未確認です。
- 自社のアプリで該当するかは、`next` の版、`use cache` の使用、画像最適化（`next/image`）の使用、SVG を扱う設定で確かめられます。

## 対応

1. Next.js を 16.4.1（16 系）または 15.5.28（15 系）以上に更新します。
2. 15 系より古い版（10〜14 系）を使っている場合は、修正が提供される版を勧告で確かめ、15.5.28 以上への移行を計画します（14 系以前の修正版は公開情報では確認できていません）。
3. `package-lock` などで `sharp` の版を確かめ、0.35.5 以上になっていることを確認します。
4. すぐ更新できない場合は、画像最適化 API の利用範囲を絞る（外部の画像の取り込みを許可リストで限る）、SVG の取り扱いを見直す、といった対策が考えられます。これは本記事の推定で、勧告が示す回避策ではありません。
5. Next.js を動かすサーバーで、心当たりのないプロセス起動、外向きの通信、異常終了がなかったかを確認します。

## 未確認の点

- NVD では、CVE-2026-96889 の状態は「Awaiting Analysis」（10/30 更新）で、NVD 自身の CVSS の評価はまだありません。`use cache` の件は、NVD に該当する CVE を見つけられませんでした。
- EPSS は CVE-2026-96889 が 0.56%（10/30 時点）です。`use cache` の件は CVE がないため、EPSS はありません。
- 悪用の報告は見つかっていません。KEV 掲載もなしです。
- 勧告の公開（10/22）は、修正版の公開（10/14 UTC）の 8 日後です。この間の経緯は未確認です。
- 実際の環境での再現は確認していません。記載は勧告、修正コミット、公開情報に基づきます。


## 出典
- [GitHub Advisory GHSA-673q-mjm6-r5xr（use cache と型付き配列）](https://github.com/advisories/GHSA-673q-mjm6-r5xr) — GitHub
- [GitHub Advisory GHSA-2464-fhr4-w9xw（画像最適化 API と SVG）](https://github.com/advisories/GHSA-2464-fhr4-w9xw) — GitHub
- [Next.js 16.4.1 リリース](https://github.com/vercel/next.js/releases/tag/v16.4.1) — GitHub
- [Next.js 15.5.28 リリース](https://github.com/vercel/next.js/releases/tag/v15.5.28) — GitHub
- [修正コミット a4cea6a](https://github.com/vercel/next.js/commit/a4cea6aec5da89d116b8960e113189cf51745d2f) — GitHub
- [修正コミット 5e3b687](https://github.com/vercel/next.js/commit/5e3b687b5edb868b064bdc058d768a7021e7f6ad) — GitHub
- [修正コミット 9571ec8](https://github.com/vercel/next.js/commit/9571ec899f063df6533351bec390ccb2cc0af6a3) — GitHub
- [sharp 0.35.5 リリース](https://github.com/lovell/sharp/releases/tag/v0.35.5) — GitHub
- [npm next](https://www.npmjs.com/package/next) — npm
- [NVD CVE-2026-96889](https://nvd.nist.gov/vuln/detail/CVE-2026-96889) — NIST NVD
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-96889) — FIRST
- [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/nextjs-use-cache-typedarray-and-image-optimization-rce-16-4-1-2026-10