Next.js v16.2.6 セキュリティアドバイザリまとめ（13件）

調査日: 2026-05-09 リリース日: 2026-05-07 ソース: Next.js v16.2.6 Release

概要

Next.js v16.2.6 は 13 件のセキュリティ脆弱性修正 を含むセキュリティリリース。v16.2.5 で修正された 12 件に加え、v16.2.6 ではそのうち 1 件の不完全な修正に対するフォローアップパッチが追加されている。

各 CVE の詳細は個別レポートを参照。

ブランチ	修正バージョン
v16.x 系	16.2.6（全 13 件を包含）
v15.x 系	15.5.18（全 13 件を包含）

v16.2.5 / v15.5.16 では CVE-2026-45109（Turbopack 環境での不完全修正）が未修正のため、v16.2.6 / v15.5.18 以降 が推奨される。

CVE	スコア	分類	概要	詳細
CVE-2026-44578	8.6	SSRF	WebSocket アップグレードを悪用した SSRF	レポート
CVE-2026-44574	8.1	認可バイパス	動的ルートパラメータ注入によるミドルウェア迂回	レポート
CVE-2026-44575	7.5	認可バイパス	セグメントプリフェッチルート経由のミドルウェア迂回	レポート
CVE-2026-45109	7.5	認可バイパス	上記の Turbopack 環境での不完全修正	レポート
CVE-2026-23870	7.5	DoS	Server Components のデシリアライズによる CPU 過負荷	レポート
CVE-2026-44579	7.5	DoS	PPR 使用時の接続枯渇によるサービス妨害	レポート
CVE-2026-44573	7.5	認可バイパス	i18n 使用時の Pages Router ミドルウェア迂回	レポート

CVE	スコア	分類	概要	詳細
CVE-2026-44580	6.1	XSS	beforeInteractive スクリプトへの信頼できない入力による XSS	レポート
CVE-2026-44577	5.9	DoS	画像最適化 API のメモリ枯渇	レポート
CVE-2026-44576	5.4	キャッシュポイズニング	RSC レスポンスのキャッシュポイズニング	レポート
CVE-2026-44581	4.7	XSS	CSP nonce の不正値による保存型 XSS	レポート

CVE	スコア	分類	概要	詳細
CVE-2026-44582	3.7	キャッシュポイズニング	`_rsc` キャッシュバスト値の衝突	レポート
CVE-2026-44572	3.7	キャッシュポイズニング	ミドルウェアリダイレクトのキャッシュポイズニング	レポート

13 件の脆弱性を集約した構成別の影響度評価。詳細は各 CVE の個別レポートを参照。

構成	影響度	対処要否	備考
SPA（`next export` / 完全静的）	🟢 低	推奨	大半の脆弱性はサーバーサイド処理に依存し影響しない。XSS 2 件（CVE-2026-44580, CVE-2026-44581）のみ理論上の影響可能性あり
SSR（自ホスト：Node.js サーバー）	🔴 高	即座に要対処	13 件すべてが影響し得る。SSRF（CVE-2026-44578）と認可バイパス 4 件は認証不要・低複雑度で悪用可能
SSR（Vercel ホスティング）	🟡 中	推奨	SSRF はプラットフォーム側で緩和。キャッシュポイズニング系も Vercel 側で対処済み。認可バイパスと DoS は依然として影響

ミドルウェアだけに認可を依存しない: 4 件の認可バイパスはすべてミドルウェアを迂回する手法。Server Components / API Routes / getServerSideProps の各レイヤーでも認可チェックを行う多層防御が必要
CDN キャッシュ設定を見直す: 3 件のキャッシュポイズニングはいずれも共有キャッシュ背後での問題。Vary ヘッダーとキャッシュキーの設計を確認する
自ホスト環境は追加の保護が必要: Vercel ホスティングでは緩和される脆弱性が、自ホスト環境では直接的な影響を受ける。WAF / リバースプロキシでの追加保護を検討