
Next.js Server Functions の DoS 脆弱性 2026 - RSC デシリアライズ由来 CVE への対処
約15分
App Router の Server Function エンドポイントを狙うデシリアライズ由来の DoS 脆弱性 CVE-2026-23864 / CVE-2026-23869 を解説します。影響有無の確認方法、上げるべき Next.js のバージョン、WAF などの緩和策を実務目線でまとめました。

App Router の Server Function エンドポイントを狙うデシリアライズ由来の DoS 脆弱性 CVE-2026-23864 / CVE-2026-23869 を解説します。影響有無の確認方法、上げるべき Next.js のバージョン、WAF などの緩和策を実務目線でまとめました。

Next.js の v1(2016年)から最新の v16.4(2026年10月リリース)までの主要バージョンを、追加された機能・アーキテクチャ変更・破壊的変更とともに時系列で整理します。16.1〜16.4 の各マイナー、サポート状況(v15 の Maintenance LTS 終了)、月次セキュリティリリース、Next.js 17 に向けた動きも扱います。

Pages Routerから移行して分かった。App Routerは別次元だった。