何が起きたか
画像最適化が内部で使う画像ライブラリ sharp のメモリ処理に欠陥があり、glibc 系の Linux で動く Next.js では、外部からのリクエストでリモートコード実行につながる可能性があります。Next.js 10 以降の広い範囲が対象です。
やること
Next.js を 15.5.28 または 16.4.1 へ更新します。すぐ更新できない場合は、sharp を 0.35.5 以上に上げることで回避できます。新規インストールでは直った sharp が自動で入ります。
出典
Next.js のセキュリティ勧告github.com英語 ↗NVD CVE-2026-96889nvd.nist.gov英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。