はじめに：Next.js on Windows環境における極めて深刻な脆弱性

日本のフロントエンドエンジニアの皆さん、緊急のセキュリティ情報です。Next.jsアプリケーションをWindowsサーバー上で運用している場合、認証なしで攻撃者が任意のコードを遠隔実行できる（Remote Code Execution: RCE）極めて深刻な脆弱性（GHSA-p293-qw3h-jr36 / CVE-2026-75604）が発見されました。この脆弱性は『Critical』に分類され、サーバー乗っ取りや機密情報漏洩に直結する危険性があるため、対象となる皆さんは直ちにNext.jsのバージョンアップを行う必要があります。

脆弱性の詳細と発生条件

この脆弱性は、Next.jsアプリケーションが以下の条件をすべて満たす場合に発生します。

1. Next.jsアプリケーションがPagesルーターまたはAppルーターを使用している。

2. Cache Componentを導入していない。

3. アプリケーションがWindowsのファイルシステムを使用するサーバー上でホストされている。

特に重要なのは3番目の条件です。この脆弱性はWindowsサーバーのファイルシステムに起因するため、もし皆さんのNext.jsアプリケーションがLinuxなどのWindows以外のOSで稼働している場合は、この特定の脆弱性による直接的な影響は受けません。しかし、Windowsサーバーで運用している場合は、認証なしで遠隔からサーバー上で任意のコードを実行されてしまうため、非常に深刻な事態を招く可能性があります。

RCE (リモートコード実行) が意味するもの

RCE（Remote Code Execution）とは、攻撃者がリモートからサーバー上で任意のコマンドを実行できる状態を指します。これが何を意味するかというと、攻撃者はほぼサーバーの管理者権限と同様の権限を手にし、以下のような悪意のある行為を自由に行えるようになるということです。

・機密情報（データベースのクレデンシャル、ユーザーデータなど）の窃取

・Webサイトの改ざん、マルウェアの配布

・サーバーへのバックドア設置、踏み台としての利用

・DDoS攻撃の起点となる

フロントエンドエンジニアにとって、アプリケーションが稼働するサーバーが乗っ取られるというのは、個人情報保護や企業信頼に関わる最大の悪夢の一つです。この脆弱性は、まさにそのレベルの脅威をもたらします。

緊急対応！今すぐバージョンアップを

現在、この脆弱性に対する既知の回避策（Workaround）は存在しません。そのため、もしご利用のNext.jsアプリケーションのサーバーがWindows上で動作している場合は、攻撃を受けるリスクを回避するためにも、最優先で直ちにNext.jsの最新バージョンへアップグレードすることを強く推奨します。Next.jsチームは既に修正をリリースしていますので、できる限り早く、以下の手順でアップデートを行ってください。

1. **依存関係の確認**: プロジェクトの `package.json` ファイルを確認し、Next.jsのバージョンを特定します。

2. **最新バージョンへのアップグレード**: npm または yarn を使用してNext.jsを最新バージョンに更新します。

`npm install next@latest react@latest react-dom@latest`

または

`yarn add next@latest react@latest react-dom@latest`

3. **テスト**: アップデート後、アプリケーションが正常に動作するかどうか、入念にテストを実施してください。

開発環境だけでなく、本番環境も含め、すべてのWindowsサーバーで稼働しているNext.jsアプリケーションが対象です。迅速な対応が求められます。

まとめ

Next.jsアプリケーションをWindowsサーバーで運用している日本のフロントエンドエンジニアの皆さん、CVE-2026-75604は非常に深刻なリモートコード実行の脆弱性であり、回避策がないため、速やかなバージョンアップが唯一の対策です。ご自身の担当するプロジェクトがこの影響範囲にないかを確認し、もし該当する場合は、最優先でNext.jsの最新バージョンへのアップデートを実施してください。セキュリティは常に最優先事項であることを忘れないでください。