Next.js の脆弱性レポート（CVE-2026-44577）

調査日: 2026-05-09 ステータス: Published (GitHub Advisory: Reviewed 2026-05-06)

概要

Next.js の Image Optimization API（/_next/image）において、ローカル画像に対するメモリサイズの制約が不足しており、大きなローカルアセットを処理させることで OOM（Out of Memory）によるサービス拒否（DoS）を引き起こせる脆弱性が存在する。

基本情報

影響を受けるソフトウェア

Next.js (npm)

• ベンダー: Vercel
• 影響バージョン: >= 10.0.0, < 15.5.16 / >= 16.0.0, < 16.2.5
• 修正バージョン: 15.5.16 / 16.2.5

脆弱性の詳細

Next.js の Image Optimization API（/_next/image エンドポイント）は、画像のリサイズや最適化をサーバーサイドで行う機能を提供する。このエンドポイントにおいて、images.localPatterns に一致するローカル画像のレスポンスサイズに制限が設けられていなかったため、非常に大きなローカルアセットが処理された場合にサーバーのメモリを過剰に消費し、OOM クラッシュを引き起こす可能性があった。修正ではレスポンスサイズの制限が追加され、新しい images.maximumResponseBody 設定オプションが導入された。カスタムローダーを使用している場合、画像最適化が無効化されている場合、または Vercel ホスティングを使用している場合はこの脆弱性の影響を受けない。

対策・推奨事項

• Next.js を 15.5.16 以降または 16.2.5 以降にアップグレードする
• レスポンスサイズの制限および images.maximumResponseBody 設定オプションが追加される修正が含まれている
• アップグレードが即座にできない場合、images.localPatterns の設定を見直し、大きなファイルが含まれるパスを除外することを検討
• カスタムローダーの使用や Vercel ホスティングへの移行も緩和策として有効
• セルフホスト環境では、リバースプロキシレベルで /_next/image エンドポイントへのレートリミッタを設定することを推奨

フロントエンド影響分析

Next.js はフロントエンドフレームワークであり、このセクションは必須。

判定の考え方

1. ブラウザのセキュリティ境界: この脆弱性はサーバーサイドの画像処理 API の問題であり、ブラウザのセキュリティ機能とは無関係に攻撃が成立する。攻撃者は /_next/image エンドポイントに対して大きなローカル画像の処理を要求するリクエストを直接送信する。
2. 実行環境: Image Optimization API はセルフホストの Node.js サーバー上でランタイムに実行される。SPA（静的エクスポート）ではこの API エンドポイントが存在しないため影響を受けない。Vercel ホスティングやカスタムローダーを使用している場合も影響を受けない。セルフホスト環境でデフォルトの画像最適化機能を使用している場合にのみリスクがある。
3. 攻撃ベクター: 認証不要（PR:N）でネットワーク経由（AV:N）から攻撃可能だが、攻撃複雑度が高い（AC:H）。大きなローカルアセットが images.localPatterns に含まれている必要があり、攻撃が成立するには特定の条件が必要である。可用性への影響は高い（A:H）が、攻撃の成功確率は条件に依存する。
4. ランタイム vs ビルドタイム: この脆弱性はランタイムにおける Image Optimization API のリクエスト処理の問題であり、ビルドタイムには影響しない。本番環境で画像最適化 API が有効になっている場合にのみ攻撃面が存在する。

参考リンク

• NVD - CVE-2026-44577
• GitHub Advisory - GHSA-h64f-5h5j-jqjh

情報ソース