Node.js・Next.js・PHPで重大な修正。2026年10月に確かめること

結論

2026年10月14日から21日にかけて、Webサイトやアプリの土台になるソフト（Node.js、Next.js、React、PHP、Python）で、重大な脆弱性の修正や緊急の更新が続きました。中には、ログインしなくても外から攻撃者のプログラムを動かされる（リモートコード実行）おそれがあるものもあります。自社のサイトやアプリがどれを使っているかで、必要な対応は変わります。まず、使っているものと版（バージョン）を制作会社や担当者に確かめ、修正版になっているかを聞きます。

何が起きたのか

各公式の発表から、主なものをまとめます。

Next.jsは画像の最適化（SVG）と use cache の機能、Reactは Server Components の部品、Node.jsは圧縮データの処理や証明書の確かめ方などが対象です。Pythonは、認証局の証明書の問題に対応するため、同梱の pip と証明書の一覧を新しくしました。

PHPの公式の告知は「完全な緩和策はなく、更新だけが安全な選択肢」としています。PHP 8.1 以前はPHPプロジェクトの更新が出ないこと、8.2 も2026年12月31日でサポートが終わることも書かれています。Node.jsも、サポートが終わった系列は、修正が出ず影響を受けたままになるとしています。

土台を更新しても、上の部品は別に更新が要る

Next.jsの発表は、React側の問題に関係する脆弱性について、回避策がないとして、似た機能を使っていなくてもすぐ更新するよう求めています。Node.jsを新しくしても、その上で動くNext.jsやReactの脆弱性は直りません。サイトは何段も重なった部品でできているので、「サーバーを更新した」だけで安心せず、段ごとに版を確かめます。

配布物そのものに不正なコードが入る事件

AIのAPIをまとめて呼ぶための部品 LiteLLM では、10月21日、配布サービス（PyPI と Docker）に出た版 1.107.0 に、認証情報を盗むコードが入っていました。LiteLLMの公式の報告によると、開発者の認証情報が悪用されて配布の仕組みが書き換えられたもので、GitHub 上の正式な 1.107.0 のタグには、不正なファイルは含まれていませんでした。PyPIでは約1時間45分後に取り下げられ、Dockerの該当の版も同じ日のうちに取り下げられています。

公式の報告は、この時間に版を指定せずに入れた環境を対象とし、外へ通信できる環境なら情報が持ち出されたと考えて、届く範囲の鍵やパスワードを取り替えるよう求めています。こうした攻撃は、ソフトを作る人ではなく、配る途中を狙うものです。使う版を固定し、新しい版はすぐに入れず確かめてから入れる、という決まりが被害を減らします。

制作会社や担当者に確かめること

詳しい判断は、作った人や運用している人でないとできません。例えば、次の5つを聞けば、対応が要るかどうかの見当がつきます。