Next.js の11月セキュリティリリースは2026年11月3日予定 — 告知内容と当日までの備え
Next.js の公式ブログが2026年10月27日、2026年11月3日(火)に定例セキュリティリリースを公開予定だと事前告知しました。対象は Next.js の Medium(中)深刻度の脆弱性7件で、影響範囲・対象バージョン・アップグレード手順を含むアドバイザリはリリースと同時に公開されます。現時点で公表されているのはここまでです。つまり、11月3日までにやるべきことは「今すぐ特定のバージョンに上げる」ことではなく、公開された瞬間に判断して適用できる状態を作っておくことです。
告知で確定していること、まだ分からないこと
公式告知から読み取れる事実は次の4点です。
- 公開予定日は2026年11月3日(火)
- Next.js の脆弱性7件に対応し、いずれも Medium 深刻度
- 各アドバイザリ(影響・影響を受けるバージョン・アップグレード方法)はリリースと同時公開
- 公開後、パッチ適用済みバージョンへの更新が推奨される
一方で、パッチ版のバージョン番号は告知されていません。2026年9月の告知では「16.3.8 と 15.5.27 を予定」と番号まで示されていたので、今回は番号が出ていない点が違います。また、どの機能領域(画像最適化、キャッシュ、Server Actions など)が対象かも当日まで分かりません。この2点が分からない以上、事前に確定できるのは自分たちの側の準備だけです。
なぜ事前に告知されるのか
Next.js は2026年7月13日に、正式なセキュリティリリースプログラムへ移行すると発表しました。それまでは予告なしの随時パッチが中心でしたが、現在は月1回程度のペースでブログに事前告知を出し、公開予定日と想定される最大深刻度を示す運用です。緊急性が高いものや悪用が確認されたものについては、従来どおり随時パッチが出ます。
この前倒し通知には、利用者が計画的にアップグレードできるようにする目的に加えて、ホスティング事業者などのプラットフォーム側がファイアウォールルールなどの緩和策を準備できるようにする狙いもある、と公式に説明されています。裏を返せば、告知から公開までの数日間は「準備期間」として設計されているということです。何もせずに当日を迎えると、この設計の恩恵を受けられません。
「Medium 7件」の緊急度をどう見るか
ここからは筆者の評価です。2026年の Next.js は、8月25日・9月22日・10月14日と Critical のリモートコード実行(RCE)を含む修正が続きました。それらと比べると、Medium のみで構成される今回のリリースは、即時に緊急メンテナンス枠を取るほどの性質ではない可能性が高いと考えられます。
ただし Medium を軽視すべきではありません。2026年9月30日のリリースでは、SSG/ISR ページのキャッシュポイズニング(別ユーザー向けの内容が配信される)や、Draft Mode のコンテンツが通常レスポンスに漏れる問題が Medium として扱われていました。深刻度スコアは成立条件の厳しさを含めた評価であり、条件が揃うアプリケーションにとっては実害が大きくなります。自分のアプリに当てはまるかどうかは、11月3日に公開されるアドバイザリの前提条件(セルフホストか、画像最適化を使うか、特定のルーティング構成か)を読んで判断するのが確実です。
11月3日までにやっておく5つのこと
- バージョンの棚卸し:運用中の全アプリについて、package.json とロックファイルで実際に入っている Next.js のバージョンを確認します。モノレポや受託案件を複数抱えている場合、ここが最も時間を食います。一覧表にしておくと、当日は影響有無の照合だけで済みます。
- 10月14日の緊急更新が当たっているか確認:直近の随時更新では、上流依存に起因する Critical 2件・High 1件が修正されました。パッチ版として 16.4.1 と 15.5.28 が示され、SVG 画像処理の問題については sharp 0.35.5 以降の利用が回避策として案内されています。ここが未適用なら、11月を待たずに先に対応すべきです。
- サポート対象ラインに乗っているか確認:公式サポートポリシー上、16.x が Active LTS、15.x が Maintenance LTS です。14.x 以前はサポート対象外で、今回の修正も届きません。該当する場合、11月3日の作業より先に移行計画を立てる必要があります。
- アップグレードの手順を先にリハーサルしておく:パッチ適用はマイナー/パッチ更新で済むことがほとんどですが、CI の通過、E2E テスト、プレビュー環境での確認、ロールバック手順までを一度通しておくと、当日の判断が速くなります。依存バージョンを厳密に固定している場合は、更新箇所を事前に洗い出しておきます。
- 情報の受け取り口を決める:Next.js のセキュリティ関連ブログ一覧、GitHub の Security Advisory、Dependabot や npm audit などの自動検知のうち、どれを誰が見るかを担当者レベルで決めておきます。事前告知は「見ている人がいる」前提で機能します。
Next.js 15 を使い続けるチームへの補足
サポートポリシーは「各メジャーは初回リリースから2年間 Maintenance LTS」と定めており、2024年10月21日リリースの15.x はこのルールだと2026年10月21日に期限を迎える計算でした。しかし現在の公式サポートポリシーには、Next.js 15 の Maintenance LTS を当初の2026年10月21日より延長したこと、新しい終了日は同ページで追って告知することが明記されています。15.5 系のまま11月のパッチを受け取れる可能性はありますが、終了日が未定である以上、恒久的な前提にはできません。15.x に留まっているチームは、11月のリリース対応とは別に、16.x への移行を期限付きの計画として持っておくのが安全です。
当日の動き方
11月3日に公開されたら、まずアドバイザリの「影響を受けるバージョン」と成立条件を読み、棚卸し済みの一覧と突き合わせます。条件に当てはまるアプリから順に、リハーサル済みの手順でパッチ版へ更新する。当てはまらないアプリも、定例の依存更新サイクルで追随する。この二段構えにしておけば、Medium 7件という情報だけで全社一斉の緊急対応を発動する必要はなくなります。
