DocsDigest
一覧へLanguage: EN
OpenAINext.js2026/07/20 12:00

July 2026 Security Release

要点だけを先に読めるように短く再構成したセクションです。

元記事
OpenAIClaude

Quick Digest

要約

要点だけを先に読めるように短く再構成したセクションです。

openaijamodel: gpt-5-mini-2025-08-07

2026年7月 セキュリティリリース

next.jssecurityssrfdosserver-actionsturbopackimage-optimization

Key Points

  • Server ActionsでDoS
  • rewritesでSSRF/Open Redirect
  • Turbopackでミドルウェア回避

Summary

Next.js の複数の高・中等度の脆弱性に対するパッチがリリースされました。影響を受ける機能には App Router、Server Actions、rewrites/redirects、Image Optimization、Edge runtime のペイロード処理、キャッシュ挙動などが含まれます。速やかに Next.js をアップデートし、外部ホストやリライト・リダイレクト設定、Server Action の転送処理を監査してください。

Key Points

  • 対応バージョン（すぐに更新すること）: npm install next@15.5.21 # for 15.5 npm install next@16.2.11 # for 16.2 Canary/preview（修正含む）: npm install next@16.3.0-canary.92 npm install next@16.3.0-preview.7

  • 主要な影響（高リスク）:

    • App Router + Server Actions による CPU 過負荷での DoS (CVE-2026-64641)
    • Turbopack と単一ロケール設定時のミドルウェア/プロキシ回避 (CVE-2026-64642)
    • rewrites/redirects による外部ホスト操作での SSRF / Open Redirect (CVE-2026-64645)
    • カスタムサーバでの Server Action 転送による SSRF (CVE-2026-64649)

  • その他の注目点（中リスク）:

    • SVG を使った Image Optimization による CPU 枯渇 (CVE-2026-64644)
    • Edge ランタイムでの Server Action ペイロード無制限 (CVE-2026-64646)
    • 内部 Server Function エンドポイントの非認証公開 (CVE-2026-64643)
    • リクエストボディ付きフェッチでのレスポンスボディのキャッシュ混同 (CVE-2026-64648 / CVE-2026-64647)

  • エンジニア向け実務対応:

    • まず依存を更新し、デプロイ前に統合テストを実行する。
    • rewrites/redirects で外部ホストをリクエスト制御可能にしていないか確認し、ホワイトリスト化する。
    • Server Actions やカスタムサーバのリダイレクト/フォワードで Host 関連ヘッダを検証する。
    • Turbopack＋単一ロケールを使用している場合はミドルウェアの認証/認可ロジックを点検する。
    • Image Optimization でリモート画像最適化を使用している場合は必要性を再評価し、信頼済みホストのみ許可する。
    • サーバサイドの fetch キャッシュロジックを検証し、ボディ差異を考慮したキャッシュキーへ変更を検討する。

  • 追加情報: 脆弱性の詳細は CVE 番号で参照可能。質問は security@vercel.com へ。

Full Translation

翻訳

原文の流れを保ったまま読める翻訳セクションです。

openaijamodel: gpt-5-mini-2025-08-07

2026年7月のセキュリティリリース

公開日: 2026-07-20T12:00:00.000Z
投稿者: Andrew Imm (@setimmediate), Josh Story (@joshcstory), Sebastian Silbermann (@sebsilbermann)

2026年7月のセキュリティリリース

先週、Next.js は事前告知されたセキュリティリリースモデルへ移行することを発表しました。パッチは事前に告知され、チームが計画を立てられるようになります。本件に対する修正は現在 v16.2.11（Active LTS）および v15.5.21（Maintenance LTS）で利用可能です。アプリケーションのセキュリティを維持するために、Next.js の依存関係を速やかにパッチしてください。

インストール例:

  • npm install next@15.5.21 # for 15.5
  • npm install next@16.2.11 # for 16.2

これらの修正は最新の Next.js 16.3 の canary（v16.3.0-canary.92）および preview（v16.3.0-preview.7）リリースでも利用可能で、v16.3.0 が安定版に達した際に含まれます。

  • npm install next@16.3.0-canary.92 # canary
  • npm install next@16.3.0-preview.7 # preview

影響 (Impact)

Denial of Service in App Router using Server Actions (High Severity)

  • CVE-2026-64641
  • 説明: App Router を使用し、少なくとも1つの Server Action を含む Next.js アプリケーションを標的にした細工されたリクエストが、過剰な CPU 使用を引き起こす可能性があります。CPU 使用率の高騰により同一プロセス内で他のリクエスト処理がブロックされ、サービス拒否（DoS）につながります。

Middleware / Proxy bypass in App Router applications using Turbopack and single locale (High Severity)

  • CVE-2026-64642
  • 説明: Turbopack でビルドされ、config.i18n.locales に単一のエントリがある App Router アプリケーションは、ミドルウェア/プロキシのバイパスに対して脆弱です。これにより、ミドルウェアやプロキシが実行している認証やセキュリティチェックが回避される可能性があります。

Server-Side Request Forgery in rewrites via attacker-controlled destination hostname (High Severity)

  • CVE-2026-64645
  • 説明: rewrites() または redirects() ルールが外部の宛先ホスト名をリクエスト制御入力から構築する場合、ルールのホスト名サフィックスに関係なく任意のホスト名を指すように操作できます。rewrite の場合は Server-Side Request Forgery（SSRF）を引き起こす可能性があり、redirect の場合はオープンリダイレクトが達成され得ます。

Server-Side Request Forgery in Server Actions on custom servers (High Severity)

  • CVE-2026-64649
  • 説明: Server Action がリクエストを転送またはリダイレクトする際に、攻撃者はそのアウトバウンドリクエストを悪意のあるホストへ送らせることができます（SSRF）。これには攻撃者のリクエストが Host に関連するヘッダーを制御している必要があります。

Denial of Service in the Image Optimization API using SVGs (Medium Severity)

  • CVE-2026-64644
  • 説明: デフォルトの image loader で Next.js をセルフホストし、Image Optimization API が（デフォルトでは有効でないが）リモートホストされた画像を最適化するように設定されている場合、悪意のある内容を含む画像（特に SVG）が /_next/image エンドポイントで CPU 消耗を引き起こし得ます。

Unbounded Server Action payload in Edge runtime (Medium Severity)

  • CVE-2026-64646
  • 説明: 細工されたリクエストが Edge ランタイム上の Server Actions におけるメモリ消費を引き起こす可能性があります。App Router を使用し、少なくとも1つの Server Action を持つ Next.js アプリケーションが影響を受けます。

Unauthenticated disclosure of internal Server Function endpoints (Medium Severity)

  • CVE-2026-64643
  • 説明: App Router を使用する Next.js アプリケーションでは、Server Actions（use server）や use cache のエンドポイント ID がグローバルに漏洩する可能性があります。攻撃者はこれを偵察やより大きな攻撃チェーンの一部として悪用できます。

Cache confusion of response bodies for requests with bodies (Medium Severity)

  • CVE-2026-64648
  • 説明: リクエストボディを伴うサーバーサイドの fetch が、同一 URL でもボディが異なる別のリクエストのキャッシュされたレスポンスボディを返す場合があります。これは以下の形の fetch 呼び出しにのみ適用されます: fetch(new Request(init), aDifferentInit)。

Cache confusion of response bodies for requests with bodies containing invalid UTF-8 byte sequences (Medium Severity)

  • CVE-2026-64647
  • 説明: リクエストボディに無効な UTF-8 文字列を含む場合、サーバーサイドの fetch が同一 URL でもボディが異なる別のリクエストのキャッシュされたレスポンスボディを返すことがあります。例えば、リクエストボディ内の UTF-16 バイト列である 삃삃 と 섄섄 は同じキャッシュを共有する可能性があります。

当社のセキュリティプログラム

Vercel の Open Source Bug Bounty を通じて、Next.js や他の OSS フレームワークのセキュリティを確保するために才能ある研究者と協力しています。対象となるフレームワークのセキュリティに貢献したい方は、ぜひそちらに参加してください。セキュリティプログラムや脆弱性管理に関する質問や懸念は security@vercel.com までお送りください。

このページの目次

  • Denial of Service in App Router using Server Actions (High Severity)
  • Middleware / Proxy bypass in App Router applications using Turbopack and single locale (High Severity)
  • Server-Side Request Forgery in rewrites via attacker-controlled destination hostname (High Severity)
  • Server-Side Request Forgery in Server Actions on custom servers (High Severity)
  • Denial of Service in the Image Optimization API using SVGs (Medium Severity)
  • Unbounded Server Action payload in Edge runtime (Medium Severity)
  • Unauthenticated disclosure of internal Server Function endpoints (Medium Severity)
  • Cache confusion of response bodies for requests with bodies (Medium Severity)
  • Cache confusion of response bodies for requests with bodies containing invalid UTF-8 byte sequences (Medium Severity)