PHP・Next.jsなどの脆弱性について（確認した内容と対応）
最終更新日：2026年10月22日
10月21日から22日にかけて、多くのウェブサイトで使われている技術に、重大な脆弱性（セキュリティ上の弱点）が相次いで公表されました。政府からも、早めの対応を求める呼びかけが出ています。EGlitchが運営する各サービスで確認した内容と、行った対応をお知らせします。
結論：PHPの脆弱性の影響はありません。Next.js・Reactの脆弱性は、Polaris StudioとEGlitch公式サイトが対象だったため、10月22日に修正版へ更新しました。サービスの停止やメンテナンスの予定はありません。
公表された主な脆弱性
- PHP（10月21日に修正版を公開）：外部から勝手にプログラムを動かされるおそれのある弱点が2件
- Next.js・React（10月14日に公表）：同じく、外部からプログラムを動かされるおそれのある弱点など3件
- Node.js（10月21日に修正版を公開）：重要度「高」4件を含む10件
サービスごとの使用技術と影響
- みんなのダーツ計算機：HTML・JavaScript＋Netlify社の環境（Node.js）。PHP・Next.js・Reactは使っていません → 影響なし
- Polaris Studio：Next.js（React）＋Vercel社の環境（Node.js） → Next.js・Reactが対象。更新済み
- EGlitch公式サイト（このサイト）：Next.js（React）＋Vercel社の環境 → Next.js・Reactが対象。更新済み
どのサービスも、PHP・Apache・Laravel・Javaは使っていません。
直したところ（10月22日）
- Polaris Studio：Next.js 16.2.12 → 16.4.1、React 19.2.4 → 19.2.9
- EGlitch公式サイト：Next.js 16.2.10 → 16.4.1、React 19.2.4 → 19.2.9
- Polaris Studio：ファイル保存に使う部品の内部にある「undici」6.28.0 → 6.29.1（部品の一括チェックで、重要度「高」の弱点が見つかったため）
- 運営者が作業に使っているパソコン：Node.js 24.19.0 → 24.22.1
Next.jsの脆弱性は、特定のキャッシュ機能、画像の変換（SVG）、サーバー側の処理呼び出しの仕組みに関わるものでした。両サイトとも、キャッシュ機能とサーバー側の処理呼び出しの仕組みは使っていませんが、画像の表示には該当の仕組みを使っているため、すぐに更新しました。
更新後は、本番のサイトが新しいバージョンで動いていること、主なページが正常に開けることを確認しました。また、公開している全サービスで、使っている外部の部品（ライブラリ）に公表済みの弱点がないかを一括で調べる仕組み（npm audit）を実行し、公開しているサービスに含まれる部品で残っている問題は0件です。
Node.jsについて
各サービスのサーバー側は、Vercel社・Netlify社の環境のNode.jsで動いており、Node.js本体の更新は各社が行います。Vercel社は10月21日の公表当日に防御の設定を入れ、修正版への更新を順次進めていると発表しています。Netlify社の対応状況は、引き続き確認します。なお、今回のNode.jsの主な弱点は、外部から届いた特殊な圧縮データを読み込んだ時に起きるもので、各サービスのサーバーがやり取りする相手は、決済・メール送信・データ保存などの決まったサービスに限られています。
今後について
これからも、公表された脆弱性は確認し、対応したときはその内容をお知らせします。