はじめに：Next.jsに緊急のDoS脆弱性

日本のフロントエンドエンジニアの皆さん、こんにちは。今回は、Next.jsを使用している開発者の皆様にぜひ知っておいていただきたい重要なセキュリティ情報をお届けします。最近、Next.jsのApp RouterおよびServer Actionsに関連する、深刻度「High」のサービス拒否（Denial of Service; DoS）脆弱性（GHSA-m99w-x7hq-7vfj / CVE-2026-64641）が報告されました。この脆弱性は、悪用されると皆様のウェブサイトやサービスが一時的に利用できなくなるリスクをはらんでいます。

脆弱性のメカニズムとその影響

この脆弱性は、攻撃者が特定の「細工されたリクエスト」をNext.jsアプリケーションに送信することで引き起こされます。具体的には、このリクエストがアプリケーションのサーバーサイドで処理される際に、CPU使用率が異常に高騰するという問題が発生します。

CPUが過負荷状態になると、同じサーバープロセス内で後続の正当な（legitimate）リクエストが適切に処理できなくなります。結果として、ウェブサイト全体が応答不能な状態に陥り、ユーザーはサービスにアクセスできなくなります。これは、ユーザー体験の著しい低下だけでなく、ビジネス機会の損失にも直結する非常に深刻な事態です。

あなたのNext.jsアプリケーションは影響を受けますか？

この脆弱性の影響を受けるかどうかは、お使いのNext.jsアプリケーションの構成によって異なります。以下の**両方の条件**を満たすアプリケーションが対象となります。

1. **App Router を利用していること:** `app/` ディレクトリを使ったルーティングを採用しているプロジェクト。

2. **少なくとも1つ以上のServer Actions を実装していること:** フォームの送信処理などで `use server` ディレクティブや Server Actions を利用している場合。

もし、あなたのアプリケーションが従来の `pages/` ディレクトリを使用するPages Routerのみで構成されている場合、またはApp Routerを使用していてもServer Actionsを一切利用していない場合は、この脆弱性の影響は受けません。しかし、将来的にApp RouterやServer Actionsの導入を検討している場合は、この情報を念頭に置いておく必要があります。

最も推奨される対応策：速やかなバージョンアップ

現時点でこの脆弱性に対する最も効果的かつ推奨される対応策は、**Next.jsのバージョンアップ**です。脆弱性が修正された安全なバージョンへの更新が不可欠です。

以下の手順で、速やかに対応を進めてください。

1. **現在のバージョンを確認:** プロジェクトの `package.json` ファイルを確認し、Next.jsのバージョンを特定します。

2. **最新の安定版へ更新:** 公式ドキュメントを参照し、脆弱性が修正された最新の安定版バージョンにアップグレードしてください。通常、`npm install next@latest react@latest react-dom@latest` や `yarn add next@latest react@latest react-dom@latest` で更新可能です。ただし、メジャーバージョンアップの場合は破壊的変更がある可能性もあるため、必ず公式のアップグレードガイドを確認し、テスト環境での十分な検証を行ってください。

3. **CI/CDパイプラインの確認:** 将来的に同様の脆弱性が発生した場合に迅速に対応できるよう、CI/CDパイプラインにセキュリティチェックや依存関係の自動更新ツールを導入することも検討しましょう。

まとめ：セキュリティ意識の向上を

今回のNext.jsのDoS脆弱性は、モダンなフレームワークの最新機能を利用する際に、潜在的なセキュリティリスクにも目を向けることの重要性を示しています。フロントエンドエンジニアとして、日々進化する技術を追いかけるだけでなく、セキュリティに関する最新情報を常にキャッチアップし、迅速に対応できる体制を整えることが求められます。

皆様のアプリケーションの安全を確保するため、本記事で解説した対応策を速やかに実行してください。