ブログに戻る — 2026年7月13日（月）
投稿者: Andrew Imm @setimmediate、Josh Story @joshcstory
私たちは、Next.js のライフサイクルのあらゆる段階でセキュリティに投資しています。これは、コード作成時の静的解析やスキャン、監査可能なパッケージ公開、脆弱性を責任を持って開示する研究者との緊密な協力に至るまで含みます。昨年12月に公表された React2Shell のエクスプロイトは、このプロセスが意図どおりに機能した例の一つであり、その後もセキュリティプログラムを継続的に成熟させてきました。
その一環として、本日 Next.js のセキュリティリリースプログラムを正式化します。
背景 — 脆弱性調査の増加とツールの進化
業界全体で脆弱性調査の量は急速に増えています。これは LLM 支援による発見が牽引しており、たとえば Mozilla は 1 回の Firefox リリースで 271 件の問題を公開しました（いずれも Anthropic’s Mythos Preview によって表面化したものです）。我々も同様のクラスのツールを Next.js に対して実行しており、deepsec、自社の研究者、および拡大したバグバウンティのスコープを通じて多くの問題が攻撃者の発見前に届くようにしています。
予測可能なリリーススケジュール
これまでチームはセキュリティ修正のためにその都度パッチを公開してきました。これらは頻度は高くありませんでしたが、事前通知がないためユーザーに混乱をもたらすことがありました。今日からは、チームが計画を立てられるように、正式なセキュリティリリースプログラムに移行します。
このような予定化され事前発表されたセキュリティリリースは主要なオープンソースプロジェクトで標準的な慣行になっており、Next.js の現状の規模にとって適切なモデルだと考えています。
期待できること
- おおむね月に一度、Next.js ブログ上で事前通知として今後のセキュリティリリースを発表します。各発表には想定されるリリース時期と、そのリリースで扱う脆弱性のうち想定される最高の深刻度を含めます。
- このリードタイムにより、アップグレード計画を立てやすくなり、ホスティング提供者や他のプラットフォームパートナーと連携して、未パッチのアプリケーションを保護するためのファイアウォールルールなどの緩和策を展開できます。
- 待てない緊急の公開や、既に実際に悪用されている脆弱性については、従来どおりアドホックなパッチを公開します。我々はコードの安全性を可能な限り迅速に確保することに引き続きコミットします。
- React2Shell やフォローアップ調査で発見したその他の脆弱性の際に行ったように、これらのアドホックリリースに関する情報もこのブログで共有します。
7月の予定リリース
最初の予定されたセキュリティリリースは、2026年7月20日の公開を目標にしています。Next.js 16.2 と 15.5 向けのパッチリリースが含まれ、複数のセキュリティ問題に対処します。修正には "High" が 4 件、"Medium" が 5 件含まれます。
パッチが利用可能になり次第、該当する CVE を含む更新の詳細を記載したブログ記事を公開します。
私たちのセキュリティプログラム
我々は Vercel's Open Source Bug Bounty を通じて、才能ある研究者たちと連携して Next.js やその他のオープンソースフレームワークのセキュリティを強化しています。対象フレームワークのセキュリティに貢献したい方は、ぜひそちらに参加してください。
セキュリティプログラムや脆弱性管理に関する質問や懸念は、security@vercel.com までお送りください。
このページ
- 予測可能なリリーススケジュール
- 期待できること
- 7月の予定リリース
- 私たちのセキュリティプログラム