Next.js の脆弱性レポート（CVE-2026-44575）

調査日: 2026-05-09 ステータス: Published (GitHub Advisory: Reviewed 2026-05-06)

概要

Next.js の App Router において、細工された .rsc および segment-prefetch URL を使用することでミドルウェアのルールをバイパスできる脆弱性が存在する。これらの URL は同一ページに解決されるにもかかわらず、ミドルウェアのマッチングルールに合致しないため、認可チェックを回避して保護されたデータにアクセスできる。

基本情報

影響を受けるソフトウェア

Next.js (npm)

• ベンダー: Vercel
• 影響バージョン: >= 15.2.0, < 15.5.16 / >= 16.0.0, < 16.2.5
• 修正バージョン: 15.5.16 / 16.2.5

脆弱性の詳細

Next.js の App Router では、React Server Components（RSC）のデータフェッチおよび segment-prefetch のために .rsc 拡張子やセグメントプリフェッチ用の特殊な URL 形式が使用される。これらの URL バリアントは最終的に同一のページコンポーネントに解決されるが、ミドルウェアのマッチャー設定にはこれらのトランスポートバリアントが含まれていなかった。そのため、攻撃者は .rsc やセグメントプリフェッチの URL 形式でリクエストを送信することで、ミドルウェアによる認証・認可チェックを完全にバイパスし、保護されたページのデータを取得できた。修正では、App Router のトランスポートバリアントをミドルウェアマッチャーに含めるようになった。

対策・推奨事項

• Next.js を 15.5.16 以降または 16.2.5 以降にアップグレードする
• App Router のトランスポートバリアント（.rsc、segment-prefetch）がミドルウェアマッチャーに含まれるようになる修正が適用される
• Turbopack 環境を使用している場合は、CVE-2026-45109 のフォローアップ修正（15.5.18 / 16.2.6）も必要
• アップグレードが即座にできない場合、リバースプロキシやエッジで .rsc および segment-prefetch パターンのリクエストに対して認証を要求する設定を検討

フロントエンド影響分析

Next.js はフロントエンドフレームワークであり、このセクションは必須。

判定の考え方

1. ブラウザのセキュリティ境界: この脆弱性はサーバーサイドのミドルウェアマッチングの不備であり、ブラウザの Same-Origin Policy や CORS はこの攻撃を防止できない。攻撃者は任意の HTTP クライアントから .rsc URL を直接リクエストすることで攻撃が成立する。
2. 実行環境: ミドルウェアおよび App Router の RSC 処理は Next.js サーバー上でランタイムに実行される。SPA（静的エクスポート）ではミドルウェアも App Router のサーバー機能も動作しないため影響を受けない。SSR 構成では、保護されたルートのデータがミドルウェアを経由せずに提供されるリスクがある。
3. 攻撃ベクター: 認証不要（PR:N）でネットワーク経由（AV:N）から攻撃可能であり、攻撃複雑度も低い（AC:L）。URL に .rsc を付加するだけで攻撃が成立するため、発見・悪用ともに容易である。機密性への影響が高く（C:H）、保護されたページのサーバーコンポーネントデータが漏洩する。
4. ランタイム vs ビルドタイム: この脆弱性はランタイムにおけるリクエストルーティングとミドルウェアマッチングの問題である。ビルド時には影響せず、本番環境でサーバーがリクエストを処理する際にのみ攻撃面が露出する。

参考リンク

• NVD - CVE-2026-44575
• GitHub Advisory - GHSA-267c-6grr-h53f

情報ソース