【注意喚起】Next.jsに深刻なセキュリティ脆弱性｜影響範囲と今すぐ行うべき対応策とは？

2025.03.272026.06.01

この記事は約4分で読めます。

記事内に広告が含まれています。

2025年3月、人気のWebアプリケーションフレームワーク「Next.js」において、深刻なセキュリティ脆弱性が発見されました。
すでに悪用の事例が報告されており、脆弱なサーバーを狙ったスキャンも確認されているため、開発者・運用担当者は速やかな対応が求められます。

この記事では、今回報告された脆弱性の概要、影響範囲、そしてユーザーが取るべき対応策についてわかりやすく解説します。

Next.js セキュリティアップデートの概要

今回発表された脆弱性は、Next.jsの「Middleware（ミドルウェア）」機能に関するものです。Next.jsは、ルーティングの前後で処理を挟む「ミドルウェア」機能を提供しており、ここにアクセス制御（認可）を組み込んでいるアプリケーションは少なくありません。

しかし、このミドルウェア処理の一部に設計上の問題があり、細工されたリクエストによって認可チェックをバイパスできてしまうというのが、今回の脆弱性です。

この脆弱性は、Next.jsのミドルウェアでアクセス制御を行っている構成に限定されるものの、構成によっては重大な被害につながる可能性があります。すでに概念実証（Poc）が公開されており、悪用された事実も確認されていることから、迅速な対応が求められます。

▼ ゼロデイ攻撃はこちらから🔗

本脆弱性は、Next.jsのバージョンに応じて影響範囲が異なります。以下に、影響を受けるバージョンと、それぞれの修正版をまとめました。

これらのバージョンを使用しているNext.jsアプリケーションは、Node.jsのバージョンやOS環境に関係なく、脆弱性の影響を受けます。

特に注意が必要なのは、以下のような構成でアプリケーションを運用している場合です

これらの条件に当てはまる場合、不正なヘッダーを含んだリクエストによって、本来アクセスできないデータや機能にアクセスされる可能性があります。

Next.jsの開発元であるVercelは、現地時間2025年3月18日に本脆弱性を修正したバージョンを公開しています。

最も確実な対策は、影響を受けるバージョンから最新の修正版にアップデートすることです。
以下のリポジトリからアップデート内容と対応バージョンを確認できます。

アップデートの前後では、アプリケーションのテストも忘れずに実施してください。

業務の都合などですぐにアップデートできない場合、次善の対策として回避策の実施が推奨されています。

Next.jsに重大な脆弱性（CVE-2025-29927）が発見され、ミドルウェアによるアクセス制御がバイパスされる可能性があります。

既に悪用の動きも確認されており、影響を受けるバージョン（12.x〜15.x系）を使用している場合は、早急なアップデートが必要です。対応が難しい場合は、ヘッダー検証の強化やWAF導入などによるリスク軽減策を講じましょう。