Webサイトやアプリの開発に広く使われているフレームワーク「Next.js」が、10月14日に定例外の臨時セキュリティ更新（アウトオブバンド・パッチ）を公開しました。修正されたのは、深刻度が「クリティカル（最も高い区分）」とされる2件のセキュリティホールと、深刻度が「高」の1件のサービス妨害（DoS）の欠陥です。
クリティカルな2件は、いずれも「認証なしのリモートコード実行（RCE）」にあたります。RCEとは、インターネット越しに第三者が、他人のサーバー上で好きなプログラムを動かせてしまう状態のこと。しかもログインすら不要なので、被害につながりやすいタイプです。
1件目は、サーバー側で画面を組み立てる仕組み「React Server Components」に関するもの。2件目は、Next.jsが画像処理に使っているオープンソースのライブラリ「librsvg」（SVG画像を扱う部品）に起因するものです。自社のコードに問題がなくても、使っている部品の欠陥が原因でサイトが危険にさらされる、という典型例といえます。
臨時の更新が出されたこと自体、開発元がリスクを重く見ている表れです。Next.jsで自社サイトやサービスを運営している方は、公式のセキュリティ情報を確認し、修正版へ早めにアップデートしてください。自分で開発していない場合も、利用中のサービスの提供元が対応済みか確認しておくと安心です。