サイト運営サービス
Vercelのセキュリティ対応状況
概要
Vercel の公式セキュリティ告知（10月21日付）：公表前から既知の攻撃パターンを遮断するWAFルールを全プロジェクトに無償で自動適用し、Vercel 上のPHP関数と、Vercel が中継する外部PHPバックエンドへの通信を対象とした。Vercel が自社のPHPランタイムを更新したとの記載はなく、WAFは修正の代わりにならないとして、利用者にPHPランタイムの即時更新を求めている。
利用者の対応:
Next.js など静的・JavaScriptのみのサイトはPHPの作業不要。Vercel でPHP関数を使っている場合や、Vercel 経由で外部のPHPサーバーを公開している場合は、PHPを 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以降に更新して再デプロイし、外部サーバーへの直接アクセスを制限する。
出典: https://vercel.com/kb/bulletin/php2shell-security-bulletin
確認日: 2026-10-30
Vercel 上のサイトの多くはPHPを使わない。PHP関数を使う場合、PHPのバージョンは利用者が管理する。
事業者自身のセキュリティ事故
2026年4月のセキュリティ事故（環境変数の漏えい）
対応完了公式発表 · 2026-10-16概要
公式告知：外部のAIツール経由で従業員のアカウントが乗っ取られ、攻撃者がVercelの内部システムに入り、一部の顧客の「sensitive」指定でない環境変数を列挙・復号した。対象の顧客には通知済み。Vercelは10月16日に対応がすべて完了し、事故を終結したと発表した。
利用者の対応:
Vercelから通知を受けた場合や未対応の場合は、sensitive指定でない環境変数（APIキー、トークン、データベースの認証情報、署名鍵）を入れ替え、秘密の値はsensitiveに指定する。MFAを有効にし、アクティビティログと身に覚えのないデプロイを確認する。
出典: https://vercel.com/kb/bulletin/vercel-april-2026-security-incident
確認日: 2026-10-24
このツールが事業者を見分ける手がかり
- ネームサーバー
*.vercel-dns.com- CNAME
*.vercel-dns.com*.vercel-dns-017.com*.vercel-dns-0.com- 応答ヘッダ（名前）
x-vercel-id