PHP・Next.jsなどの脆弱性について（確認した内容と対応）

10月21日から22日にかけて、多くのウェブサイトで使われている技術に、重大な脆弱性（セキュリティ上の弱点）が相次いで公表されました。政府からも、早めの対応を求める呼びかけが出ています。Polaris Studioで確認した内容と、行った対応をお知らせします。

結論：PHPの脆弱性の影響はありません。Next.js・Reactの脆弱性は対象だったため、10月22日に修正版へ更新しました。サービスの停止やメンテナンスの予定はありません。

公表された主な脆弱性

• PHP（10月21日に修正版を公開）：外部から勝手にプログラムを動かされるおそれのある弱点が2件
• Next.js・React（10月14日に公表）：同じく、外部からプログラムを動かされるおそれのある弱点など3件
• Node.js（10月21日に修正版を公開）：重要度「高」4件を含む10件

確認したこと

• 使っている技術：Polaris Studioは、Next.js（React）というフレームワークで作っており、Vercel社の環境（Node.js）で動いています。PHPは使っていません。
• 使っている部品：サービスが使っている外部の部品（ライブラリ）に、公表済みの弱点がないかを一括で調べる仕組み（npm audit）で確認しました。

直したところ（10月22日）

• Next.js：16.2.12 → 16.4.1（10月14日に公表された脆弱性の修正版）
• React：19.2.4 → 19.2.9（Next.jsと一緒に修正された部分）
• undici（ファイル保存に使う部品の内部の部品）：6.28.0 → 6.29.1（部品の一括チェックで、重要度「高」の弱点が見つかったため）

• Next.jsの脆弱性は、特定のキャッシュ機能、画像の変換（SVG）、サーバー側の処理呼び出しの仕組みに関わるものでした。Polaris Studioでは、このうちキャッシュ機能とサーバー側の処理呼び出しの仕組みは使っていませんが、画像の表示には該当の仕組みを使っているため、すぐに更新しました。
• undiciの弱点は、Polaris Studioでは使っていない通信方式（WebSocketなど）に関わるものでしたが、こちらも更新しました。
• 更新後、本番のサイトが新しいバージョンで動いていること、主なページが正常に開けることを確認しました。部品の一括チェックで、残っている問題は0件です。

Node.jsについて

サーバー側はVercel社の環境のNode.jsで動いており、Node.js本体の更新は同社が行います。同社は10月21日の公表当日に防御の設定を入れ、修正版への更新を順次進めていると発表しています。

そのほか

• 運営者が作業に使っているパソコンのNode.jsも、修正版（24.22.1）に更新しました。
• 同じ運営者（EGlitch）のほかのサービスの対応は、EGlitch公式サイトのお知らせ（https://eglitch.jp/news/2026-10-22-php-vulnerability）にまとめています。

これからも、公表された脆弱性は確認し、対応したときはその内容をお知らせします。

参考

• PHP公式サイト（英語）（https://www.php.net/）
• Next.js公式ブログ（英語）（https://nextjs.org/blog/nextjs-security-update-october-14-2026）
• Node.js公式ブログ（英語）（https://nodejs.org/en/blog/vulnerability/october-2026-security-releases）
• Vercel社のお知らせ（英語）（https://vercel.com/kb/bulletin/node-js-security-advisory）