2026.09.16

2026年8月度 MBSD-SOCの検知傾向トピックス

Next.jsの脆弱性（CVE-2025-29927）を狙った攻撃

　今月は、Next.jsの脆弱性（CVE-2025-29927）を狙った攻撃が増加しました。本脆弱性は、2025年3月に公開されたもので、攻撃者に悪用された場合、認証を回避されて不正な操作をされてしまう可能性があります。

　弊社SOCでは脆弱性が公開されて以降、毎月数千件から数万件を継続的に観測していましたが、2026年8月は約43万件に増加しました。急増した原因として、8/26(水)にNext.jsの新しい脆弱性が公表されたことが影響した可能性が考えられます。

　下図は、本脆弱性を狙った攻撃の検知数推移および攻撃元国です。8/29(土)以降に攻撃数が急増しました。攻撃元国は、アメリカとシンガポールでほぼ100%を占めています。

図. Next.jsの脆弱性（CVE-2025-29927）を狙った攻撃の検知数推移（2026年8月）

　以下は、弊社SOCで検知した攻撃例です。Next.jsの内部的に使用されるx-middleware-subrequest ヘッダーを、HTTPリクエストに付加することで、本来実行すべきミドルウェア処理の回避を試みた通信となっています。

図. Next.jsの脆弱性（CVE-2025-29927）を狙った攻撃例
GET /admin HTTP/1.1 Host: www.example.co.jp User-Agent: Mozilla/5.0 (Linux; Android 10; K) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/149.0.0.0 Mobile Safari/537.36 Accept: / Accept-Encoding: gzip, deflate, br, zstd Accept-Language: en-US,en;q=0.9 X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware sec-ch-ua: "Brave";v="149", "Chromium";v="149", "Not)A;Brand";v="24" sec-ch-ua-mobile: ?0 sec-ch-ua-platform: "Windows"

　今回の脆弱性（CVE-2025-29927）の影響対象は以下の通りです。しかしながら、Next.jsには他の脆弱性も報告されているため、本製品を使用されている場合は、最新のバージョンにアップデートすることをお勧めします。

影響対象