2026.10.23 の号｜通り道 security

やること　Next.js 16 系は 16.4.1 へ更新します。Cache Component を使っていなくても例外にせず、本番で動いている全サイトのバージョンを確認してください。

やること　Next.js を 15.5.28 または 16.4.1 へ更新します。すぐ更新できない場合は、sharp を 0.35.5 以上に上げることで回避できます。新規インストールでは直った sharp が自動で入ります。

やること　Pillow を 13.0.0 へ更新します。画像アップロードを受け付けるサービスは優先度が高く、requirements やコンテナイメージに固定している版も忘れずに上げてください。

やること　certifi を 2026.10.19 以上へ更新します。certifi を中に抱えたコンテナイメージは作り直しが必要です。python.org の macOS インストーラ利用者も対象です。

やること　dompurify を 3.4.17 へ更新します。サニタイズ結果を Angular や Vue などのテンプレートエンジンに渡している場合は、更新までの間 IN_PLACE と RETURN_DOM の併用を避けてください。

やること　storybook と関連パッケージを 8.6.19 / 9.1.21 / 10.6.2 へ更新します。更新まで、開発サーバーを起動したまま信頼できないサイトを開かないでください。

この号は GitHub Advisory Database で 10/20〜10/22 に公表された「重大」のうち、利用者の多いものを選んでいます。同じ期間の Pillow には TIFF 書き出し（CVE-2026-112393）と Ghostscript 呼び出し（CVE-2026-112900）の重大がもう2件あり、13.0.0 への更新で一緒に直ります。