まとめサイトの記事や機械翻訳ではなく、一次情報だけを追っています。興味のあるトピックだけ選んで読めます。
トピック: nextjs解除
Next.jsチームは脆弱性CVE-2025-66478(通称React2Shell)を受け、影響を受けるアプリを検出しパッチ適用済みバージョンへ更新するnpmパッケージを公開しました。`npx fix-react2shell-next`を実行するだけで対応が可能です。全ユーザーに対し、速やかなアップデートが呼びかけられています。
React Server ComponentsおよびNext.jsに高深刻度のサービス拒否(DoS)脆弱性が発見されました。Denoは自社のホスティングサービスDeno Deployに対して緩和策を実装済みですが、それ以外の環境でこれらのフレームワークを利用しているユーザーには即座のアップデートが呼びかけられています。
Next.jsチームは、過去の「React2Shell」問題を受けたセキュリティ監査の過程で、React Server Components(RSC)プロトコルに新たな脆弱性を2件発見したと発表しました。深刻度は高(High)と中(Medium)の2段階で、利用者には各リリースラインの最新パッチ版へのアップグレードが推奨されています。
Vercelは、React Server Componentsに新たに2件の脆弱性(高深刻度のDoSと中深刻度のソースコード漏洩)が発見されたと発表しました。以前のReact2Shell脆弱性への修正パッチが不完全だったことが原因で、VercelはWAFルールを自動配備しつつも、影響を受ける全ユーザーに対しパッチ版へのアップグレードを強く推奨しています。
Next.jsチームは2025年12月11日、React Server Components(RSC)に新たに2件の脆弱性が発見されたことを公表しました。詳細な脆弱性の種類やCVE番号は公開情報に含まれていませんが、影響を受けるユーザーには修正済みバージョンへの即時アップグレードが強く推奨されています。
React公式ブログにより、React Server Components(RSC)において新たに2件の脆弱性が公開されました。前週の重大脆弱性に対する修正パッチを検証していたセキュリティ研究者が発見したもので、高危険度のサービス拒否(DoS)脆弱性と中危険度のソースコード露出脆弱性が含まれます。
Vercelは「Next.js 16.1」を公開しました。開発サーバー向けにTurbopackのファイルシステムキャッシュを導入したほか、新しいバンドルアナライザ、Node.js環境でのデバッグ改善が含まれます。詳細な仕様は原文でも簡潔にとどまっていますが、開発体験の底上げを狙ったアップデートです。
VercelのReactフレームワーク「Next.js」がバージョン**16.1**を公開しました。開発サーバーのコンパイル高速化、新しいバンドルアナライザー、`next dev --inspect`によるデバッグ機能強化が主な変更点です。詳細は公式ブログで案内されています。
VercelはNext.jsの脆弱性「React2Shell」の公開後、自社WAFの防御力を検証するため116人のセキュリティ研究者を招き100万ドル超の報奨金を支払うハッカーチャレンジを実施しました。48時間で20件のWAF更新を行い、発見されたバイパス手法は全デプロイメントに恒久的に適用されています。さらに、これまで非公開だったコンピュート層での多層防御についても初めて明らかにしています。
Next.js公式Blueskyアカウントが、Next.js 16.1でTurbopackのファイルシステムキャッシュがdev環境において標準で有効化されたと発表しました。実際のオープンソースアプリを用いた検証例では、起動時間が3.7秒から336ミリ秒へと大幅に短縮されたことが報告されています。
Vercelが公式ブログでAI SDKの最新メジャーバージョン「AI SDK 6」を発表しました。月間**2000万件以上**のダウンロード実績を持ち、スタートアップからFortune 500企業まで幅広く採用されているこのツールキットは、複数のAIプロバイダーを統一APIで扱えるのが特徴です。Next.js・React・Svelte・Vue・Node.jsといった主要フレームワークとの連携もそのまま維持されています。
Next.js公式ブログが「Inside Turbopack: Building Faster by Building Less」と題した技術解説記事を公開しました。大規模なNext.jsアプリケーションの開発・ビルドを支える仕組みとして、Turbopackが採用する増分計算(incremental computation)というアプローチが紹介されています。
Next.jsチームは公式Blueskyアカウントで、Turbopackがどのようにインクリメンタル計算を用いて構築されているかを解説するブログ記事を公開したことを発表しました。あらゆる規模のNext.jsアプリケーションで開発・ビルドをスケールさせることを目的としているとしています。
Vercelは、Next.js 16の新APIをコーディングエージェントに正しく使わせる方法として、Anthropicの「Skills」と「AGENTS.md」への静的なドキュメント埋め込みを比較検証しました。結果は明示的指示付きのSkillsでも79%止まりだったのに対し、圧縮した8KBのドキュメント索引をAGENTS.mdに埋め込む方式は100%の合格率を達成しました。この知見をもとに、Next.jsプロジェクト向けの導入コマンドも公開されています。
Vercelは自己ホスト型Next.jsアプリケーションに影響する2件の中程度深刻度のDoS脆弱性(CVE-2025-59471、CVE-2025-59472)を公表しました。いずれもメモリ枯渇によるサーバークラッシュを引き起こす可能性がありますが、データ漏洩や権限昇格には至りません。Vercelでホストされているアプリケーションは影響を受けません。
VercelがReact Server Componentsに存在する複数の高深刻度な脆弱性(CVE-2026-23864、CVSS 7.5)を公開しました。リモートコード実行には至らないものの、細工されたHTTPリクエストによりサーバークラッシュやメモリ枯渇、CPU過負荷を引き起こすサービス拒否(DoS)の脆弱性です。Vercelは自社WAFに緩和ルールを配信済みですが、パッチ済みバージョンへの速やかなアップグレードを強く推奨しています。
VercelのCDNが、フレームワークやバックエンドを問わず全てのレスポンスに対してタグベースのキャッシュ無効化に対応しました。従来Next.jsのISRのみで使えた仕組みが一般開放され、キャッシュ全体のパージではなく関連コンテンツだけをまとめて無効化できるようになります。全プランで追加料金なしに利用可能です。
Next.jsチームがブログ記事「Building Next.js for an agentic future」で、AIエージェント対応の試行錯誤を公開しました。ブラウザ内で動作するエージェントを構築した後にこれを終了させ、代わりにMCP統合を提供した経緯と、そこから得た知見が紹介されています。
VercelはサードパーティのMDXレンダリングパッケージ「next-mdx-remote」に存在する脆弱性CVE-2026-0969を検知した場合、新規デプロイを自動的に失敗させる仕組みを導入しました。回避には環境変数の設定が必要で、根本対応としてはパッケージのアップグレードが推奨されています。
Next.jsチームは公式Blueskyアカウントで、AIを使ってNext.jsアプリを構築するケースが増えていることを受け、エージェント体験の改善に注力してきたと発表しました。エージェントを人間の開発者と並ぶ「第一級ユーザー」と位置づけ、これまでの知見を公式ブログでまとめています。