2026年10月の Node.js・Next.js の脆弱性への AnimaTime の対応

10月21日以降、AnimaTime が使っているソフトウェア（Node.js、Next.js、undici）で、重要度の高い脆弱性の公開が続きました。AnimaTime での対応と、現在の状況をお知らせします。

結論

• 調べた範囲で、AnimaTime で悪用につながる経路は見つかっていません。不正アクセスや情報の流出も確認していません。
• 公開された脆弱性のうち、AnimaTime 側で更新できるものは、すべて修正版に更新しました。
• 実行環境の Node.js 本体は、提供元（Vercel）が修正版を順に配っている途中です。届くまでの間は、提供元の防御機能が、この攻撃の手口を入口で止めています。

対応の経過（日時は日本時間に対応させています）

Node.js 本体について

AnimaTime は Vercel の上で動いており、Node.js 本体は Vercel が管理しています。Vercel は10月21日に、修正版を各環境へ順に配っていること、その間は攻撃の手口をファイアウォールで止めていることを公表しています。AnimaTime の環境に修正版が届いたら、このブログでご報告します。

これからに向けて

昨今は毎日と言っても差し支えはないほど、大手のサービスでも不正アクセスや情報の流出が相次いでいます。AI によって、ソフトウェアの弱点が見つかる速さも、それが悪用される速さも今までとは比にならないほど上がっていることは私たちエンジニアだけではく幅広く皆さんの身にも感じられているかと思います。正直に言えば、大きな会社でも防ぎきれていない攻撃を、弊社のような小規模スタートアップの体制で開発・維持されているAnimaTime が必ず防げるとは言い切れません。

だからこそ私たちは、「絶対に破られない」という無責任な約束をユーザーの皆様方にするのではなく、次の4つを大切にしています。

1. 狙われても、被害を小さくする

データは会社ごとに分けて扱い（もう少し詳しい言い方をすると行レベルセキュリティ（Row-Level Security）というものを採用しています）、クレジットカードの情報は AnimaTime では持たずに決済サービス（Stripe）に任せています。漏洩が知られているパスワードは登録できないようにし、二段階認証も使えるようにしています。

2. 何かあれば、すぐに気づく

攻撃の兆しや、ほかの会社のデータを見ようとするアクセスを自動で検知し、運営にすぐ届くようにしています。

3. すぐに止めて、元に戻せるようにする

必要なときは、すぐに全員へお知らせし、書き込みを一時的に止められます。データは毎日、別の場所にバックアップを取り、週に一度、実際に元に戻せるかを確かめています。

4. 起きたことは、隠さずに伝える

今回のように、脆弱性への対応や、もし何かが起きたときの状況を、分かった時点でお伝えします。

いま起きているのは、「昨日まで見つからなかった弱点が、今日見つかってしまう」ということだと思います。

今日の守りが、明日も通用するとは限らない。

AI の時代も、その先も、これを前提に備え続けることが、制作の大切な情報をお預かりする私たちの役目だと考えています。

2027年からは運用・保守の体制も広げ、その備えを続けていきます。

引き続きどうぞよろしくお願いいたします。

Reference

• Node.js：October 2026 Security Releases（https://nodejs.org/en/blog/vulnerability/october-2026-security-releases）
• Next.js の脆弱性：GHSA-2464-fhr4-w9xw（https://github.com/advisories/GHSA-2464-fhr4-w9xw）、GHSA-673q-mjm6-r5xr（https://github.com/advisories/GHSA-673q-mjm6-r5xr）、GHSA-p3m5-59mp-jv5r（https://github.com/advisories/GHSA-p3m5-59mp-jv5r）
• undici の脆弱性：GHSA-xjj6-f33q-929c（https://github.com/advisories/GHSA-xjj6-f33q-929c）
• Vercel：Node.js security advisory（https://vercel.com/kb/bulletin/node-js-security-advisory）