DocsDigest
Back to listLanguage: JA
OpenAINext.jsJul 20, 2026, 12:00 PM

July 2026 Security Release

A condensed section focused on the key takeaways first.

Original Post
OpenAIClaude

Quick Digest

Summary

A condensed section focused on the key takeaways first.

openaienmodel: gpt-5-mini-2025-08-07

July 2026 Security Release

next.jssecuritydosssrfserver-actionsturbopackimage-optimization

Key Points

  • Upgrade to v16.2.11 or v15.5.21 now
  • High-severity DoS, SSRF, and middleware bypasses fixed
  • Fixes available in v16.3 canary/preview

Summary

Next.js 2026-07 security release addresses multiple high- and medium-severity vulnerabilities affecting App Router, Server Actions, rewrites/redirects, Turbopack builds, and the Image Optimization API. Updates are released in v16.2.11 (Active LTS) and v15.5.21 (Maintenance LTS). Canary and preview builds also contain fixes (v16.3.0-canary.92, v16.3.0-preview.7) and the fixes will ship in v16.3.0 stable.

Upgrade commands:

  • npm install next@15.5.21 # for 15.5 (Maintenance LTS)
  • npm install next@16.2.11 # for 16.2 (Active LTS)
  • npm install next@16.3.0-canary.92 # canary
  • npm install next@16.3.0-preview.7 # preview

Key Points

  • Critical high-severity issues (patch immediately):

    • Denial of Service in App Router using Server Actions (CVE-2026-64641) — crafted requests can cause excessive CPU and process-level request blocking.
    • Middleware/proxy bypass in Turbopack-built App Router with a single locale (CVE-2026-64642) — authentication/security checks may be bypassed.
    • SSRF/Open Redirect via rewrites/redirects when destination hostname is attacker-controlled (CVE-2026-64645) and SSRF from Server Actions on custom servers when Host headers are controllable (CVE-2026-64649).

  • Other medium-severity fixes to review and patch:

    • DoS in Image Optimization API when optimizing remote SVGs (CVE-2026-64644).
    • Unbounded Server Action payloads in the Edge runtime (CVE-2026-64646).
    • Unauthenticated disclosure of internal Server Function endpoints (CVE-2026-64643).
    • Cache confusion for fetch requests with bodies, including cases with invalid UTF-8 (CVE-2026-64647, CVE-2026-64648).

  • Practical guidance for engineers:

    • Upgrade Next.js to one of the fixed versions above as soon as possible.
    • Audit rewrites/redirects and ensure destination hostnames are not built from attacker-controlled input.
    • Review Server Actions and custom server forwarding for uncontrolled Host or proxy headers.
    • If self-hosting image optimization, verify remote image sources and consider disabling remote fetching until patched.
    • Monitor Vercel's advisories and consider subscribing to the Open Source Bug Bounty program for coordinated disclosure.

Full Translation

Translations

A translation section that keeps the flow of the original article.

openaijamodel: gpt-5-mini-2025-08-07

2026年7月のセキュリティリリース

公開日: 2026-07-20T12:00:00.000Z
投稿者: Andrew Imm (@setimmediate), Josh Story (@joshcstory), Sebastian Silbermann (@sebsilbermann)

2026年7月のセキュリティリリース

先週、Next.js は事前告知されたセキュリティリリースモデルへ移行することを発表しました。パッチは事前に告知され、チームが計画を立てられるようになります。本件に対する修正は現在 v16.2.11（Active LTS）および v15.5.21（Maintenance LTS）で利用可能です。アプリケーションのセキュリティを維持するために、Next.js の依存関係を速やかにパッチしてください。

インストール例:

  • npm install next@15.5.21 # for 15.5
  • npm install next@16.2.11 # for 16.2

これらの修正は最新の Next.js 16.3 の canary（v16.3.0-canary.92）および preview（v16.3.0-preview.7）リリースでも利用可能で、v16.3.0 が安定版に達した際に含まれます。

  • npm install next@16.3.0-canary.92 # canary
  • npm install next@16.3.0-preview.7 # preview

影響 (Impact)

Denial of Service in App Router using Server Actions (High Severity)

  • CVE-2026-64641
  • 説明: App Router を使用し、少なくとも1つの Server Action を含む Next.js アプリケーションを標的にした細工されたリクエストが、過剰な CPU 使用を引き起こす可能性があります。CPU 使用率の高騰により同一プロセス内で他のリクエスト処理がブロックされ、サービス拒否（DoS）につながります。

Middleware / Proxy bypass in App Router applications using Turbopack and single locale (High Severity)

  • CVE-2026-64642
  • 説明: Turbopack でビルドされ、config.i18n.locales に単一のエントリがある App Router アプリケーションは、ミドルウェア/プロキシのバイパスに対して脆弱です。これにより、ミドルウェアやプロキシが実行している認証やセキュリティチェックが回避される可能性があります。

Server-Side Request Forgery in rewrites via attacker-controlled destination hostname (High Severity)

  • CVE-2026-64645
  • 説明: rewrites() または redirects() ルールが外部の宛先ホスト名をリクエスト制御入力から構築する場合、ルールのホスト名サフィックスに関係なく任意のホスト名を指すように操作できます。rewrite の場合は Server-Side Request Forgery（SSRF）を引き起こす可能性があり、redirect の場合はオープンリダイレクトが達成され得ます。

Server-Side Request Forgery in Server Actions on custom servers (High Severity)

  • CVE-2026-64649
  • 説明: Server Action がリクエストを転送またはリダイレクトする際に、攻撃者はそのアウトバウンドリクエストを悪意のあるホストへ送らせることができます（SSRF）。これには攻撃者のリクエストが Host に関連するヘッダーを制御している必要があります。

Denial of Service in the Image Optimization API using SVGs (Medium Severity)

  • CVE-2026-64644
  • 説明: デフォルトの image loader で Next.js をセルフホストし、Image Optimization API が（デフォルトでは有効でないが）リモートホストされた画像を最適化するように設定されている場合、悪意のある内容を含む画像（特に SVG）が /_next/image エンドポイントで CPU 消耗を引き起こし得ます。

Unbounded Server Action payload in Edge runtime (Medium Severity)

  • CVE-2026-64646
  • 説明: 細工されたリクエストが Edge ランタイム上の Server Actions におけるメモリ消費を引き起こす可能性があります。App Router を使用し、少なくとも1つの Server Action を持つ Next.js アプリケーションが影響を受けます。

Unauthenticated disclosure of internal Server Function endpoints (Medium Severity)

  • CVE-2026-64643
  • 説明: App Router を使用する Next.js アプリケーションでは、Server Actions（use server）や use cache のエンドポイント ID がグローバルに漏洩する可能性があります。攻撃者はこれを偵察やより大きな攻撃チェーンの一部として悪用できます。

Cache confusion of response bodies for requests with bodies (Medium Severity)

  • CVE-2026-64648
  • 説明: リクエストボディを伴うサーバーサイドの fetch が、同一 URL でもボディが異なる別のリクエストのキャッシュされたレスポンスボディを返す場合があります。これは以下の形の fetch 呼び出しにのみ適用されます: fetch(new Request(init), aDifferentInit)。

Cache confusion of response bodies for requests with bodies containing invalid UTF-8 byte sequences (Medium Severity)

  • CVE-2026-64647
  • 説明: リクエストボディに無効な UTF-8 文字列を含む場合、サーバーサイドの fetch が同一 URL でもボディが異なる別のリクエストのキャッシュされたレスポンスボディを返すことがあります。例えば、リクエストボディ内の UTF-16 バイト列である 삃삃 と 섄섄 は同じキャッシュを共有する可能性があります。

当社のセキュリティプログラム

Vercel の Open Source Bug Bounty を通じて、Next.js や他の OSS フレームワークのセキュリティを確保するために才能ある研究者と協力しています。対象となるフレームワークのセキュリティに貢献したい方は、ぜひそちらに参加してください。セキュリティプログラムや脆弱性管理に関する質問や懸念は security@vercel.com までお送りください。

このページの目次

  • Denial of Service in App Router using Server Actions (High Severity)
  • Middleware / Proxy bypass in App Router applications using Turbopack and single locale (High Severity)
  • Server-Side Request Forgery in rewrites via attacker-controlled destination hostname (High Severity)
  • Server-Side Request Forgery in Server Actions on custom servers (High Severity)
  • Denial of Service in the Image Optimization API using SVGs (Medium Severity)
  • Unbounded Server Action payload in Edge runtime (Medium Severity)
  • Unauthenticated disclosure of internal Server Function endpoints (Medium Severity)
  • Cache confusion of response bodies for requests with bodies (Medium Severity)
  • Cache confusion of response bodies for requests with bodies containing invalid UTF-8 byte sequences (Medium Severity)