日本のフロントエンドエンジニアの皆さんへ：Next.jsアプリに潜む重大なリスク

こんにちは。日々、Next.jsを始めとするモダンなフレームワークを用いて、ユーザー体験の向上に努めている皆さんへ、今回は見過ごせない非常に深刻な脆弱性情報をお届けします。最近、Next.jsの特定機能に、悪意のあるリクエストによってウェブサイト全体が停止する可能性がある、高い深刻度のDoS（Denial of Service）脆弱性 (GHSA-mg66-mrh9-m8jx / CVE-2026-44579) が発見されました。この脆弱性は、皆さんの開発しているアプリケーションが「Cache Components」と「Partial Prerendering (PPR)」を使用している場合に影響を受けます。サービスの安定稼働を守るため、内容を理解し、迅速に対応することが求められます。

GHSA-mg66-mrh9-m8jx / CVE-2026-44579 とは？脆弱性の詳細

この脆弱性は、Next.jsが提供する「Cache Components」機能を通じて「Partial Prerendering (PPR)」を使用しているアプリケーションが標的となります。具体的には、悪意のあるユーザーが特定の細工されたPOSTリクエストをサーバーアクションに送信すると、リクエストボディの処理において「デッドロック」状態に陥る可能性があります。

デッドロックとは、複数の処理がお互いのリソースを待ち続け、永遠に処理が進まなくなる状態を指します。この場合、サーバーは悪意あるリクエストに対して接続を長時間開いたままにしてしまい、結果的にサーバーのファイルディスクリプタ（ファイルやネットワーク接続を識別するためのOSリソース）やその他の処理リソース（CPU、メモリなど）が過剰に消費されます。このリソース枯渇がサーバーをパンク状態に追い込み、正当なユーザーからのアクセスに応答できなくなり、最終的にサービス停止（DoS）に至る危険性があります。

影響を受ける条件の確認：あなたのアプリケーションは大丈夫？

この脆弱性の影響を受けるのは、Next.jsアプリケーションが以下の両方の条件を満たしている場合です。

<ul><li>「Cache Components」機能を利用している。</li><li>「Partial Prerendering (PPR)」を導入している。</li></ul>

もしご自身のプロジェクトでこれらの機能を使用している場合は、直ちに後述の対策を検討してください。

フロントエンドエンジニアとして取るべき対策：迅速な対応が鍵

この脆弱性への対応は、サービスの安定稼働に直結するため、非常に重要です。以下の対策を速やかに実施することを強く推奨します。

Next.jsの最新バージョンにアップグレードしてください。新しいバージョンでは、Partial Prerenderingのリクエスト再開に使用される特定のヘッダー（`Next-Resume`ヘッダー）を内部専用として扱い、外部からの信頼できないリクエストに含まれる場合は自動的に取り除くよう修正されました。このヘッダーは本来、Next.jsの内部的な仕組みで使用されるものであり、外部クライアントから直接受け入れられることは想定されていません。

アップデートにより、この脆弱性が悪用される可能性が根本的に排除されます。

もし何らかの理由で直ちにNext.jsのアップデートが難しい場合は、一時的な対策として、アプリケーションの手前に位置するエッジ（CDNやロードバランサーなど）で `Next-Resume` ヘッダーを含むリクエストをブロックするように設定してください。これにより、悪意のあるリクエストがNext.jsアプリケーションに到達する前に遮断され、脆弱性が悪用されるのを防ぐことができます。

このヘッダーが外部から送られてくることは異常事態であるため、ブロックしても通常のサービス運用には影響しません。

まとめ：常にセキュリティ意識を持って開発を

Next.jsは強力なフレームワークであり、フロントエンド開発を大きく加速させますが、その複雑さゆえに、このようなサーバーサイドに影響を及ぼす脆弱性が発見されることもあります。今回のGHSA-mg66-mrh9-m8jx / CVE-2026-44579は、サービス停止に直結する深刻な問題であり、迅速な対応が不可欠です。

日々の開発業務において、利用しているフレームワークやライブラリのセキュリティ情報を常にチェックし、最新の状態に保つことが、安定したウェブサービス提供の基盤となります。この記事が、皆さんのアプリケーションを守る一助となれば幸いです。