Next.js に重大 RCE 脆弱性が 2 件！Cloudflare の緊急 WAF ルールで即ブロックできるようになったよ！

みんな、しぃちゃんだよ！今日はのんびりしてる場合じゃない、緊急のセキュリティニュースを持ってきたよ。

なにが発表されたの？

Cloudflare の Changelog で、2026 年 8 月 26 日付の緊急 WAF リリースが発表されたの。今回は Next.js の遠隔コード実行(RCE)に関わる脆弱性 2 件に対応するための、マネージドルールセットの更新だよ。

対象になっているのはこの 2 つ。

CVE-2026-75604 — Windows でホストされた Next.js アプリケーション(Pages Router・App Router のどちらでも、Cache Components を使っていない場合が対象)。認証なしで遠隔コード実行が可能
GHSA-2xp9-vwfh-vxw4 — Next.js の Image Optimizer が対象。攻撃者が細工した AVIF 画像を最適化処理させることで、認証なしの遠隔コード実行が起きる

Next.js 側は、この脆弱性への対応としてバージョン 16.3.3 または 15.5.24 へのアップデートを推奨しているよ。

Next.js は世界中の Web アプリで使われているフレームワークだから、「認証不要でコードを実行できてしまう」脆弱性が出ると影響範囲がとても広いの。しかも今回は 2 件同時、しかも片方は画像の最適化処理という、一見安全そうに見える機能が攻撃の入り口になっているのがこわいところだよね。

アプリ側のアップデートには時間がかかることも多いから、Cloudflare は自社の WAF 側でも先に対応を進めて、パッチ適用を待たずに悪用の試みをブロックできるようにしたってわけ。

Cloudflare の Managed Ruleset を有効にしている Next.js サイトは、追加の設定をしなくても今回のルール更新の恩恵を受けられるよ。攻撃リクエストが飛んできても、アプリに届く前に WAF 側でブロックされるようになるの。

もちろん WAF での防御はあくまで保険で、根本対応としては Next.js 自体のアップデートも忘れずにね。

今回のリリースでは、Cloudflare Managed Ruleset 内の次の 2 ルールが更新・追加されたよ。

既存ルール(ルール ID 末尾 2ca6cce3): 「Next.js - Remote Code Execution - CVE:CVE-2026-75604」というルールの説明文が、CVE-2026-75604 を明示する内容に更新された。もともと Block(遮断)で動いていたルールで、検出ロジック自体は変更なし
新規ルール(ルール ID 末尾 80256efe): 「Next.js - Image Optimizer Remote Code Execution via Crafted AVIF」という、AVIF 画像経由の攻撃を検出する新しいルールが追加され、アクションは Block(遮断)で有効化された

つまり、AVIF 画像を悪用した Image Optimizer への攻撃は、今回はじめて WAF レベルで遮断対象になった、ということだね。

Cloudflare が Next.js の RCE 脆弱性 2 件(CVE-2026-75604 / GHSA-2xp9-vwfh-vxw4)に対応する緊急 WAF リリースを実施したよ
既存ルールは CVE 番号を明示する形に説明文を更新(検出内容は変更なし)
AVIF 画像を悪用した Image Optimizer 向けの新規ブロックルールを Block で追加
根本対応には Next.js の 16.3.3 または 15.5.24 へのアップデートが必要

Next.js を Cloudflare の WAF 配下で運用しているエンジニアさんは、ルールセットの適用状況と自分のアプリのバージョンを、両方ともすぐチェックしておきたいところだね！