Next.js: 2026-10-14 のセキュリティ更新（16.4.1 / 15.5.28）にすぐ上げる

2026-10-14（日本時間 10-15 未明）に、上流ライブラリ由来の脆弱性3件（Critical 2・High 1）を直す臨時リリースが出た。[email protected] か [email protected] に上げる。

脆弱性	深刻度	影響を受ける条件	回避策
`use cache` 関数が複数の型付き配列（`Uint8Array` など）を返すと認証なしで RCE（GHSA-673q-mjm6-r5xr）	Critical 9.5	16.0.0〜16.4.0、App Router + Cache Components	なし。該当コードがなくても上げる
画像最適化 API で SVG を扱うと RCE（GHSA-2464-fhr4-w9xw）	Critical 9.5	10.0.0〜15.5.27 / 16.0.0〜16.4.0、glibc 系 Linux で動かしている場合	`sharp` を 0.35.5 以上にする
Server Actions への細工したリクエストで CPU を食いつぶす DoS（GHSA-p3m5-59mp-jv5r）	High	13.0.0〜15.5.27 / 16.0.0〜16.4.0、App Router で Server Action が1つ以上ある	なし（Pages Router のみ、または Server Actions 未使用なら影響なし）

bash

npm install [email protected]    # 16.x
npm install [email protected]   # 15.5.x
npm ls sharp               # 0.35.5 以上になっているか確認

Next.js を上げればパッケージマネージャーが修正済みの sharp を入れる。lockfile で古い sharp が固定されていないか npm ls sharp で確かめる。
14 以前など LTS 外のバージョンにはパッチが出ない。メジャーアップグレードが必要（Next.js: next upgrade --agent でコーディングエージェントにバージョンアップを任せるも使える）。
npm/pnpm: minimum-release-age でサプライチェーン攻撃を避けつつ、緊急パッチだけ一時的に解除するを設定していると、公開直後の修正版が入らない。緊急時の解除方法はその記事を参照。