Next.js の脆弱性レポート（CVE-2026-45109）

調査日: 2026-05-09 ステータス: Published (GitHub Advisory: Reviewed 2026-05-07)

概要

CVE-2026-44575 の修正が Turbopack 環境において不完全であり、同一の segment-prefetch バイパス手法が依然として有効であった。Turbopack を使用している場合、.rsc およびセグメントプリフェッチ URL を介したミドルウェアバイパスが引き続き可能であった。

基本情報

影響を受けるソフトウェア

Next.js (npm)

• ベンダー: Vercel
• 影響バージョン: >= 15.2.0, < 15.5.18 / >= 16.0.0, < 16.2.6
• 修正バージョン: 15.5.18 / 16.2.6

脆弱性の詳細

CVE-2026-44575 では、App Router のトランスポートバリアント（.rsc、segment-prefetch）がミドルウェアマッチャーに含まれていない問題が修正されたが、この修正は Turbopack 環境では適用されていなかった。Turbopack は Next.js の代替バンドラーであり、独自のルーティング処理パスを持つため、Webpack 向けの修正が Turbopack 側に反映されていなかった。その結果、Turbopack を使用してビルド・実行している Next.js アプリケーションでは、CVE-2026-44575 と同一の手法でミドルウェアの認証・認可チェックをバイパスし、保護されたデータにアクセスできる状態が継続していた。

対策・推奨事項

• Next.js を 15.5.18 以降または 16.2.6 以降にアップグレードする
• Turbopack 環境でも App Router のトランスポートバリアントがミドルウェアマッチャーに含まれるようになる修正が適用される
• CVE-2026-44575 の修正（15.5.16 / 16.2.5）だけでは Turbopack 環境では不十分であるため、必ず 15.5.18 / 16.2.6 以降にアップグレードすること
• アップグレードが即座にできない場合、Turbopack から Webpack に一時的に切り替えるか、リバースプロキシで .rsc および segment-prefetch パターンのリクエストをブロックすることを検討

フロントエンド影響分析

Next.js はフロントエンドフレームワークであり、このセクションは必須。

判定の考え方

1. ブラウザのセキュリティ境界: CVE-2026-44575 と同様に、この脆弱性はサーバーサイドのミドルウェアマッチングの不備であり、ブラウザのセキュリティ機能では防止できない。攻撃者はブラウザを使わずとも、curl 等の HTTP クライアントから .rsc や segment-prefetch URL を直接送信することで攻撃が成立する。
2. 実行環境: Turbopack でビルド・実行されている SSR 環境でのみ影響がある。SPA（静的エクスポート）ではミドルウェアもサーバーサイド処理も存在しないため影響を受けない。Turbopack は Next.js 15 以降で推奨される高速バンドラーであり、採用が拡大しているため影響範囲は広い。
3. 攻撃ベクター: 認証不要（PR:N）でネットワーク経由（AV:N）から攻撃可能であり、攻撃複雑度も低い（AC:L）。CVE-2026-44575 の修正を適用済みであっても、Turbopack 環境では依然として同一手法で攻撃可能であるため、追加のアップグレードが必須である。
4. ランタイム vs ビルドタイム: この脆弱性はランタイムにおけるリクエスト処理の問題であるが、Turbopack というビルドツールの選択がランタイムの脆弱性に影響する点が特徴的である。ビルドタイムの構成選択がランタイムセキュリティに波及する事例であり、バンドラーの変更時にはセキュリティパッチの適用状況を再確認する必要がある。

参考リンク

• NVD - CVE-2026-45109
• GitHub Advisory - GHSA-26hh-7cqf-hhc6

情報ソース