この記事を書こうと思ったのは、2026年に入ってから個人情報の流出があまりに相次いでいるからです。ニュースで名前を見ない月がない、という感覚を持っている方も多いと思います。
原因はさまざまですが、見過ごされがちなのが「Webサイトやアプリが使っているフレームワークが、古いまま放置されている」というパターンです。特にNext.jsでは、2025年末から2026年にかけてリモートコード実行（RCE）を含む重大な脆弱性が相次いで修正されました。最大深刻度はCVSS 10.0。そして後述するように、これらを自動で突いて認証情報を盗む攻撃が、すでに広く動いています。
多くは更新すれば解消します。問題は「自社サイトがいま安全なバージョンなのか」を把握できていないケースです。この記事では、相次ぐ流出の背景を整理したうえで、安全なバージョンの基準と、自社サイトを外部に一切送信せず、手元だけで確認する方法をお伝えします。ページ内にそのまま使えるセルフチェッカーも用意しました。
2026年、個人情報流出はなぜ止まらないのか
2026年は、国内でも大規模な情報漏えいが途切れなく報じられました。規模の大きいものだけでも、KDDIのメールシステムで約1,223万件（うちパスワード約762万件）、画像共有サービスGyazoで約2,362万件、ECのムラウチドットコムで約772万件といった流出が確認されています（セキュリティ対策Lab）。
これらの原因は一つではありません。フィッシング、委託先やSaaSを経由した侵入、ランサムウェアなど複数の経路が絡みます。ただ、共通して言えるのは「インターネットに公開されている入口」が狙われているという点です。そしてWebアプリのフレームワークは、まさにその入口にあたります。
攻撃は「どこか特定の企業を狙い撃ち」だけではありません。公開サーバーを無差別にスキャンし、脆弱なものを機械的に見つけて侵入する、という手口が主流になっています。古いバージョンのまま公開しているだけで、標的リストに載ってしまうということです。
古いNext.jsが狙われている—実際に起きている攻撃
背景を具体的に示すのが、セキュリティ企業Cisco Talosが2026年に報告した攻撃キャンペーンです（Cisco Talos: UAT-10608、BleepingComputer）。
- 攻撃者（UAT-10608と呼ばれるグループ）は、React2Shell（CVE-2025-55182）に脆弱なNext.jsサーバーを自動でスキャンして探し出します。
- 侵入後、「NEXUS Listener」と呼ばれる専用ツールで、環境変数・SSHキー・AWSやStripeのトークン・GitHubの認証情報・データベースの接続情報を根こそぎ盗み出します。
- 報告時点で、少なくとも766台のNext.jsホストが侵害されていました。
つまり、古いNext.jsを公開したままにしていると、「サイトが乗っ取られる」だけでは済みません。そこに保存された認証情報を足がかりに、クラウド環境や顧客データベースまで芋づる式に抜かれる。これが2026年の情報漏えいの典型的な広がり方です。Next.jsを作るVercel社自身も、2026年にデータベースやアクセスキーの流出を公表しています（SecurityWeek）。
だからこそ、「自分のサイトのバージョンが安全かどうか」を確認する価値があります。
まず結論：安全なバージョンの基準
2026年10月時点で、既知の脆弱性がすべて修正されているのは次のバージョンです。これ未満は「要更新」と考えてください。
| 系統 | 安全なバージョン | これ未満は |
|---|---|---|
| 16.x（Active LTS） | 16.3.8 以上 | 要更新 |
| 15.x（Maintenance LTS） | 15.5.27 以上 | 要更新 |
| 14.x 以下 | なし | 15.5.27以上か16系へ移行 |
14系以下は、2026年の脆弱性の影響を受けるにもかかわらず修正版が提供されていません。まだ14系以下で運用している場合は、更新ではなく「移行」が必要です。
15.0〜15.4系にも個別の修正版（15.0.5、15.4.8 など）は出ていますが、サポートが継続している15.5系（15.5.27）まで上げるのが確実です。
セルフチェック：ロックファイルを調べる
プロジェクトの package-lock.json（または pnpm-lock.yaml / yarn.lock / package.json）を下のエリアに置くと、next のバージョンを読み取って判定します。
ファイルはこのブラウザ内でのみ解析されます。どこにも送信されません（通信は発生しません）。
このチェッカーはファイルをブラウザ内だけで解析します。サーバーにも外部にも送信しません。URLの入力も受け付けません。つまり「他人のサイトを調べる」用途には使えない設計です。安全確認は、あくまで自分が管理するプロジェクトに対して行ってください。
何が危険だったのか
2026年を通して修正された脆弱性のうち、特に深刻だったものを挙げます。
| 時期 | 内容 | 深刻度 | 対象 |
|---|---|---|---|
| 2025/12 | React2Shell（CVE-2025-66478）── 遠隔コード実行 | 10.0 | 15.x / 16.x の App Router |
| 2026/08 | AVIF画像処理のバッファオーバーフロー | 9.5 | 〜15.5.23 / 〜16.3.2（AVIF有効時） |
| 2026/08 | Windows環境のパストラバーサル | 9.0 | 〜15.5.23 / 〜16.3.2（Windowsのみ） |
| 2026/09 | ImageResponse（OG画像生成）のRCE | 9.5 | 16.2.0〜16.3.5（Node.js） |
| 2026/09 | SSRF・キャッシュ汚染・情報漏えい 7件 | High ほか | 〜15.5.26 / 〜16.3.7 |
中でも影響が大きかったのが、2025年12月に公開されたReact2Shellです。React Server Components（RSC）の脆弱性で、攻撃者が細工したリクエストによってサーバー上で任意のコードを実行できる内容でした（Next.js公式アドバイザリ CVE-2025-66478、React本体 CVE-2025-55182）。
影響を受けるのはApp Routerを使う15.x・16.xです。13.x、14.x安定版、Pages Routerのみの構成、Edge Runtimeは対象外とされています。公開直後から攻撃が観測されており、AWSやGoogle Cloudもそれぞれ対応を公表しました。
このほか2026年5月（12件）・7月（9件）にも、ミドルウェアの認可バイパス、XSS、SSRF、DoSなどがまとめて修正されています。いずれも先ほどの安全バージョンまで上げれば解消します。
サーバーに入れないときの確認方法
ソースやロックファイルが手元になくても、自分が管理するサイトであれば次の方法で確認できます。
1. インストール済みのバージョンを見る
プロジェクトのディレクトリで実行します。実際に入っている next のバージョンが分かります。
npm ls next
# または
cat node_modules/next/package.json | grep '"version"'2. 公式の診断ツールを使う（React2Shell対応）
Vercelが公開している対話型ツールです。バージョンを調べ、推奨版へ安全に更新します。
npx fix-react2shell-nextこれらはいずれも「自分が管理するプロジェクト・サイト」に対してのみ実行してください。稼働中サイトのレスポンスからバージョンを推測する手法もありますが、他人のサイトに対して行うのは、たとえ善意でも避けてください。
見つけたら、どうするか
自社サイトが古かった場合は、系統に合わせて安全バージョンへ更新し、再デプロイします。React2Shellに該当していた期間がある場合は、環境変数・シークレットのローテーションも推奨されています。
他社サイトの脆弱性に気づいた場合は、無断でスキャンや調査をせず、正規のルートで届け出てください。日本ではIPAの脆弱性関連情報の届出制度があり、受付・調整はJPCERT/CCが担います。善意であっても、無断の調査は不正アクセスとみなされる恐れがあります。
よくある質問
Q. どのバージョンまで上げれば安全ですか？ 16系なら16.3.8以上、15系なら15.5.27以上です。14系以下は修正版がないため、移行が必要です。
Q. Pages Routerだけの構成でも危険ですか？ React2Shellに限れば、Pages Routerのみの構成とEdge Runtimeは対象外とされています。ただし他の脆弱性（画像処理やSSRFなど）は構成によって影響するため、結局は最新の安全バージョンへ上げるのが確実です。
Q. Vercelでホスティングしていれば大丈夫ですか？ 脆弱性によっては、Vercelのプラットフォーム側で緩和されたものもあります。ただし自己ホスティング（自前のサーバーやVPS）の場合は自分で更新するしかありません。いずれにせよ、アプリ自体のバージョンを上げておくのが基本です。
本記事のバージョン基準は2026年10月6日時点のものです。新たな脆弱性や勧告が出る可能性があるため、最新情報は必ずNext.js公式のセキュリティ情報でご確認ください。