Next.js の脆弱性レポート（CVE-2026-23870）

調査日: 2026-05-09 ステータス: Published (GitHub Advisory: Reviewed 2026-05-06)

概要

Next.js の App Router における Server Components のデシリアライゼーション処理に脆弱性が存在し、細工された HTTP リクエストにより過剰な CPU 使用を引き起こし、サービス拒否（DoS）を発生させることが可能。認証不要で単一リクエストによりサーバーを停止させることができる。

基本情報

影響を受けるソフトウェア

Next.js (npm)

• ベンダー: Vercel
• 影響バージョン: >= 13.0.0, < 15.5.16 / >= 16.0.0, < 16.2.5
• 修正バージョン: 15.5.16 / 16.2.5

脆弱性の詳細

Next.js の App Router は Server Functions（旧 Server Actions）のエンドポイントにおいて、クライアントから送信されたデータをデシリアライズする処理を行う。この処理において、細工されたペイロードを含む HTTP リクエストを送信することで、デシリアライゼーションエンジンが過剰な CPU リソースを消費し、サーバープロセスが応答不能になる。攻撃者は認証なしで単一の HTTP リクエストを送信するだけでサーバーをクラッシュさせることが可能であり、リソース割り当ての制限が適切に設けられていなかったことが根本原因である。

対策・推奨事項

• Next.js を 15.5.16 以降または 16.2.5 以降にアップグレードする
• Server Function エンドポイントにおけるデシリアライゼーション処理にリソース制限が追加される修正が含まれている
• アップグレードが即座にできない場合、WAF（Web Application Firewall）やレートリミッタにより Server Function エンドポイントへの異常なリクエストを制限することを推奨
• App Router を使用していない場合（Pages Router のみ）は影響を受けないが、予防的にアップグレードを推奨

フロントエンド影響分析

Next.js はフロントエンドフレームワークであり、このセクションは必須。

判定の考え方

1. ブラウザのセキュリティ境界: この脆弱性はサーバーサイドのデシリアライゼーション処理の問題であり、ブラウザのセキュリティ機能とは無関係に攻撃が成立する。攻撃者は任意の HTTP クライアントから細工されたペイロードを直接 Server Function エンドポイントに送信できる。
2. 実行環境: Server Functions は Node.js サーバー上でランタイムに実行されるため、SSR 構成でのみ影響がある。SPA（静的エクスポート）ではサーバーサイドの処理が存在しないため攻撃面がない。App Router を使用している SSR 環境では、サーバープロセスのクラッシュによりすべてのユーザーがサービスを利用できなくなる。
3. 攻撃ベクター: 認証不要（PR:N）でネットワーク経由（AV:N）から攻撃可能であり、攻撃複雑度も低い（AC:L）。単一リクエストで DoS が成立するため、DDoS のようなトラフィック量は不要である。可用性への影響が高い（A:H）が、機密性・整合性への影響はない。
4. ランタイム vs ビルドタイム: この脆弱性はランタイムにおける Server Function のリクエスト処理の問題であり、ビルドタイムには影響しない。本番環境で App Router の Server Functions が有効になっている場合にのみ攻撃面が存在する。

参考リンク

• NVD - CVE-2026-23870
• GitHub Advisory - GHSA-8h8q-6873-q5fj

情報ソース