「先月もNext.jsの緊急の修正版が出たと聞いたのに、今度はNode.jsとPHPだ」——Webシステムを持つ会社の担当者から、こうした声を聞きます。修正版の知らせが届く間隔は、ここ数か月で目に見えて短くなっています。
この記事では、なぜ脆弱性の修正が続いているのかと、それに合わせて保守の体制で何を決めておけばよいかを整理します。
先に、要点をまとめます。
- 2026年8月25日から10月21日までの2か月弱で、Next.js・Node.js・PHPの緊急度の高い修正版が4回出ました。 Node.jsは10月21日に11件の脆弱性を修正し、うち4件が深刻度「高」です。
- 背景には、AIを使った脆弱性探しで見つかる件数が増えていることがあります。 FIRST（世界のセキュリティ対応チームの団体）は、2026年に公開される脆弱性の識別番号を約6万6,000件と予測しています。ただし、実際に悪用されやすいものの割合は増えていないとも指摘しています。
- 「年に何回か緊急の修正版が出る」前提で、保守の契約に更新の頻度と緊急時の期限を書いておくことが対策になります。 誰が公式発表を見て、どれくらいの期間で当てるかが決まっていないと、知らせが来るたびに判断が止まります。
まずはここから。 自社のシステムが使っているNode.jsとNext.js（またはPHP）のバージョンと、更新を誰が担当しているかを、保守会社か社内の担当者に確認してください。
2026年10月22日時点で、各プロジェクトの公式発表を確認した情報です。対応状況は更新されることがあるため、判断の前には本文中の公式ページをご確認ください。
ここ2か月で、どんな修正版が出ましたか？
Next.jsが8月と9月に、Node.jsとPHPが10月21日に、それぞれ緊急度の高い修正版を出しました。Next.jsとPHPの修正は、いずれも外部からサーバー上でコードを実行されるおそれがあるものです。
| 公開日 | 対象 | 修正版 | 内容 |
|---|---|---|---|
| 2026年8月25日 | Next.js | 16.3.3・15.5.24 | 深刻度「緊急」2件。AVIF画像の最適化経由と、Windowsで動かしている場合のコード実行（公式発表） |
| 2026年9月22日 | Next.js | 16.3.6 | 深刻度「緊急」1件。next/ogのNode.js版ImageResponse経由のコード実行。16.2.0以上16.3.6未満が対象（公式発表） |
| 2026年10月21日 | Node.js | 26.12.1・24.22.1・22.23.4 | 11件。深刻度「高」はBrotli（圧縮形式）の展開処理の不具合、TLS証明書の確認をすり抜けられる不具合など4件（公式発表） |
| 2026年10月21日 | PHP | 8.5.12・8.4.27・8.3.36・8.2.35 | 深刻度「緊急」2件。詳細が修正版の公開前に流出し、公開後に攻撃の試みが観測された（php.netの発表） |
Next.jsはNode.jsの上で動きます。このため、Next.jsで作ったシステムは、Next.js自体の修正版とNode.jsの修正版の両方を当てる必要があります。
Node.jsの発表では、サポートが終わった版は「セキュリティリリースのたびに必ず影響を受ける」と明記されています。古い版を使い続けている場合は、修正版が出るたびに穴が残ることになります。
なぜ脆弱性の修正がこれほど続いているのですか？
AIを使って脆弱性を探す道具が広まり、見つかる件数そのものが増えているからです。一方で、届く報告の多くは誤りで、確かめる側の手が足りなくなっています。
既存システムを移行したいについて相談する老朽化した業務システム、限界がきたSaaS、連絡の取れない開発会社が作ったシステムを、業務を止めずに引き取って作り変える受託開発既存システムを移行したいを見る →FIRSTが2026年6月15日に公表した予測では、2026年に公開される脆弱性の識別番号（CVE）は約6万6,000件で、2月時点の予測（中央値5万9,427件）から上方修正されました。増加の要因として、AIを使った脆弱性探しで古いソフトウェアの欠陥が見つかるようになったことを挙げ、Mozillaの公開件数がAIの道具によって164%増えた例を示しています。
ただし、同じ発表は「実際に悪用されやすいものの割合は横ばい」とも述べています。件数が増えた分だけ危険が増えたわけではありません。大事なのは、自社が使っている部品と機能に関係するものを見分けて、関係するものを早く当てることです。
修正する側のプロジェクトでは、報告の量に対応しきれない状況も出ています。
- curl（多くのソフトウェアが使う通信の部品）は、AIで作られた質の低い報告が増えたことを理由に、2026年1月31日でバグ報奨金の制度を終了しました
- Node.jsは、質の低い報告が増え、2025年12月15日〜2026年1月15日の1か月で30件以上が届いたことから、2026年2月19日から報告できる人の条件を厳しくしました
- Googleは、自動で作られた報告の大半が無効だったとして、オープンソースの脆弱性報奨金の新規受付を10月1日から止めました
見つかる速さが上がり、本物の脆弱性も含めて修正版が出る回数が増えている。これが、ここ数か月の連続した修正版の背景です。
自社のシステムは、何を確認すればよいですか？
使っている部品のバージョン、その部品の該当機能を使っているか、更新を誰がいつ行うかの3つです。思い込みで「うちは大丈夫」と判断しないことが先です。
| ✖ よくある思い込み | 〇 実際の条件 |
|---|---|
| 公開して動いていれば、触らなくてよい | Next.jsだけで2か月に2回、緊急の修正版が出た。何もしなければ穴が残る |
| VercelやFirebase App Hostingなら、全部自動で直る | 実行環境（Node.jsなど）はサービス側が更新するが、反映に再デプロイが要る場合がある。Next.jsなど自社で指定した部品は自社で更新する |
| 件数が増えた分だけ危険になった | 悪用されやすいものの割合は横ばい（FIRST）。該当機能を使っているかで優先度が変わる |
| 保守契約に入っていれば、緊急時もすぐ直してもらえる | 契約書に適用の期限が書かれていなければ、時期は決まっていない |
| 毎回すぐ最新版にすればよい | 同じ系列の修正版と、大きな版上げは別物。後者は動作確認の計画が要る |
該当機能を使っているかは、公式発表の「影響する条件」を読めば分かります。たとえば9月のNext.jsの脆弱性は、next/ogのNode.js版ImageResponseで画像を作っている場合だけが対象で、Edge版を使っている場合は対象外でした。8月のWindowsの件は、LinuxやmacOSのサーバーでは影響しません。
一方、Node.jsとPHPの今回の修正は、本体の通信や圧縮の処理に関わるものを含みます。使っている機能での絞り込みが難しいので、対象の版なら当てる前提で計画します。
サポートが続いている版はどれですか？
2026年10月時点で修正版が出ているのは、Node.jsは22・24・26の3系列、Next.jsは16.3と15.5の2系列です。これより古い版を使っている場合は、修正版そのものが出ません。
Node.jsのリリース計画では、各系列のサポート期限は次のとおりです。
| Node.jsの系列 | 状態（2026年10月） | サポート終了 |
|---|---|---|
| 20以前 | 終了 | 終了済み |
| 22 | 保守期間 | 2027年4月30日 |
| 24 | 長期サポート | 2028年4月30日 |
| 26 | 最新版 | 2029年4月30日 |
Next.jsは、8月と9月の公式発表で16.3を「Active LTS」、15.5を「Maintenance LTS」とし、この2系列に修正版を出しています。それ以外の系列を使っている場合は、修正版を当てる前に、16.3か15.5へ上げる作業が要ります。
PHPの場合は、8.1以前が終了済みで、8.2も2026年12月31日で終わります。PHPのシステムをどうするかは、PHPの脆弱性で移行を考えたらで整理しています。
保守の契約では、何を決めておけばよいですか？
定期の更新の頻度、緊急の修正版を当てるまでの期限、誰が公式発表を見るか、更新後に何を確かめるか、費用の扱いの5つです。
| 決めること | 決め方の例 |
|---|---|
| 定期の更新 | 月に1回、依存部品（npmのパッケージなど）の修正版をまとめて当てる |
| 緊急時の期限 | 深刻度「緊急」「高」で自社が該当する場合は、何営業日以内に当てるかを決める |
| 公式発表の確認 | 誰が、どのプロジェクトの発表を見るか。GitHubの自動通知（Dependabot等）を使うか |
| 更新後の確認 | ログイン、主要な画面、決済やメール送信など、毎回確かめる操作の一覧を作っておく |
| 費用の扱い | 定期の更新と緊急の適用を月額に含めるか、都度の見積もりにするか |
緊急時の期限は、何もしなければ「保守会社の空いている時に」になりがちです。数字を一つ書いておくだけで、知らせが来たときに確認と判断を待たずに作業へ進めます。
大きな版上げ（Next.js 15から16へ、Node.js 22から24へ、など）は、緊急の修正版とは別に年単位で計画します。Node.js 22のサポートは2027年4月30日で終わるため、22を使っているシステムは、2027年の前半までに24以降へ上げる計画が要ります。
保守費用の内訳と相場の考え方は、システム保守費用の相場と根拠で扱っています。
ゼットリンカーでは、どう更新していますか？
自社で運用している約20のNext.jsのサイトでも、公式発表を確認し、修正版への更新と動作確認を同じ手順で行っています。お客様のシステムの保守でも、この手順をもとに頻度と期限を決めます。
ゼットリンカーの保守では、次のように進めます。
- 契約の前に、更新の頻度と緊急時の期限をすり合わせる：上の表の5項目を、お客様の業務に合わせて決めます
- 依存部品の一覧を持つ：Next.js・Node.js・データベースの接続部品などのバージョンを一覧にし、公式発表と突き合わせます
- 該当するかを確かめてから当てる：影響する条件を読み、該当する修正版を当てます
- 更新後に決めた操作を確かめる：主要な画面と、ログイン・メール送信などの操作を確認してから公開します
他社が作ったシステムの保守も引き継げますか？
引き継げます。ただし、最初に現状の調査をさせてください。構造を把握していないシステムの保守だけをお預かりしても、直せる範囲が狭く、緊急時に期限どおり当てられないためです。
調査では、次のものを確認・作成します。
- 使っている部品とバージョンの一覧（Next.js・Node.js・主要なパッケージ）
- ソースコードの置き場所と、本番へ公開する手順
- 手元で動かして確かめるための環境
- 更新後に確かめる操作の一覧
作った会社と連絡が取れない場合の進め方は、仕様書や担当者がいないシステムを引き継ぐ手順を、引き継ぎで受け取るものの一覧は引き継ぎ・保守ガイドをご覧ください。
調査の結果、使っている系列のサポートが終わっていて修正版が出ない場合や、版を上げると大きく作り直す必要がある場合は、保守ではなく作り直し（リプレース）を比べます。この判断はレガシーシステム刷新の進め方で扱っています。
よくある質問
Q. 10月21日のNode.jsの修正版は、いつまでに当てればよいですか？
Node.jsの公式発表に期限は書かれていません。外部から届く通信を扱うシステムで、22・24・26系を使っているなら、22.23.4・24.22.1・26.12.1への更新を早めに計画してください。20系以前は修正版が出ないため、サポート中の系列へ上げる必要があります。
Q. VercelやFirebase App Hostingで動かしていれば、対応は要りませんか？
Node.jsなどの実行環境はサービス側が更新しますが、反映に再デプロイが必要な場合があります。Next.jsなど、package.jsonで指定している部品は自社で更新します。使っているサービスの案内と、自社で指定している部品の両方を確認してください。
Q. AIが見つけた脆弱性は、本当に危険なのですか？
届く報告の多くは誤りや重複で、プロジェクト側が確かめたうえで修正版と識別番号を出しています。公式に修正版が出たものは、確認済みの脆弱性として扱ってください。
Q. 毎回すぐに最新版へ上げないといけませんか？
同じ系列の修正版（例：16.3.5から16.3.6）は、該当する場合は早めに当てます。大きな版上げ（例：15から16）は動作確認が要るため、別に計画します。
Q. 他社が作ったNext.jsのシステムでも保守を頼めますか？
頼めます。最初に現状の調査を行い、部品の一覧と公開の手順を確かめてから保守を始めます。調査だけで区切り、保守は社内で行う形もとれます。
システムの保守を相談する
ご相談の際は、次の4つを分かる範囲でお知らせください。分からない項目は空欄のままで構いません。
- システムのURLと、何に使っているか
- 使っているNext.jsとNode.js（またはPHP）のバージョン（分からなければ「不明」）
- 動かしている場所（Vercel、AWS、レンタルサーバーなど）
- 作った会社と連絡が取れるか
お問い合わせには2営業日以内にご返信します。ゼットリンカーは賠償責任保険に加入しています。初回相談・お見積もりは無料です。
運営・編集