Next.js hat am 25. August 2026 die Versionen 16.3.3 und 15.5.24 veröffentlicht und einen ursprünglich für den 26. geplanten Sicherheits-Patch um einen Tag vorgezogen. Der Grund für die Eile: Eine zweite kritische Lücke, die während der Vorbereitung des Updates entdeckt wurde, floss in dieselbe Auslieferung ein. Beide Schwachstellen erlauben nicht authentifizierte Remote-Code-Ausführung, und kein Workaround ersetzt dauerhaft das Update.
Zwei Remote-Code-Ausführungen, ohne Authentifizierung
Der im offiziellen Repository veröffentlichte Hinweis beschreibt zwei getrennte Lücken, beide als kritisch eingestuft:
- RCE auf Windows-gehosteten Servern (
GHSA-p293-qw3h-jr36): Eine Pfadmanipulation erlaubt es auf einem Windows-Dateisystem, Code auf dem Server ohne Authentifizierung auszuführen. - RCE über die Bildoptimierungs-API (
GHSA-2xp9-vwfh-vxw4): Eine präparierte AVIF-Datei führt, von der Bildoptimierungskette verarbeitet, zur Codeausführung. Der Fehler stammt aus der nachgelagert genutzten Decoding-Bibliothek.
Ernst wird die Sache durch das gemeinsame Merkmal: In beiden Fällen braucht der Angriff weder Konto noch gültige Sitzung. Eine exponierte, ungepatchte Anwendung ist direkt erreichbar.
Zwei kritische Lücken, keine Authentifizierung nötig: Bei einer exponierten Next.js-Anwendung bemisst sich das Fenster zwischen Hinweis und Ausnutzung in Stunden.
Wer betroffen ist
Alle Versionen vor den Korrekturen sind verwundbar: der 15er-Zweig unterhalb von 15.5.24, der 16er-Zweig unterhalb von 16.3.3. Die AVIF-Optimierungslücke reicht deutlich weiter zurück als die der Windows-Server; praktisch häuft eine länger nicht aktualisierte Codebasis beide Expositionen zugleich an.
| Lücke | Art | Exponierte Fläche | Behoben in |
|---|---|---|---|
GHSA-p293-qw3h-jr36 | Nicht authentifizierte RCE | Windows-gehostete Server | 16.3.3 · 15.5.24 |
GHSA-2xp9-vwfh-vxw4 | Nicht authentifizierte RCE | Bildoptimierungs-API (AVIF) | 16.3.3 · 15.5.24 |
Beheben: zuerst aktualisieren
Die einzige vollständige Antwort ist der Versionssprung. Da beide Lücken in derselben Auslieferung behoben sind, schließt ein einziges Update beide Türen.
# branche 16 (Active LTS)
npm install [email protected]
# branche 15 (Maintenance LTS)
npm install [email protected]
# équivalents pnpm / yarn
pnpm add [email protected]
yarn add [email protected]
Wenn das Update nicht sofort möglich ist. Nur für die AVIF-Lücke verkleinert das Entfernen von AVIF aus den vom Bildoptimierer ausgelieferten Formaten die Angriffsfläche, bis gepatcht ist. Das ist eine Teil-Absicherung, kein Fix: Die Windows-Lücke deckt sie nicht ab.
// next.config.js — atténuation temporaire de la faille AVIF
module.exports = {
images: { formats: ['image/webp'] }, // ne plus servir d'AVIF optimisé
};
Was bleibt
Zwei nicht authentifizierte Remote-Code-Ausführungen auf einen Schlag behoben, über beide gepflegten Next.js-Zweige: Die Priorität des Tages ist, die Produktionsversion zu prüfen und auf 16.3.3 oder 15.5.24 zu wechseln. Der AVIF-Workaround verschafft Zeit, ersetzt aber das Patchen nicht und lässt die Windows-Lücke offen.
Bei den Projekten, die ich hoste, löst ein solcher Hinweis eine einfache Routine aus, die ich jedem empfehle: ein npm ls next, um die tatsächliche Produktionsversion zu kennen, und danach sofort das Update samt Regressionstests. Zwei RCEs ohne Authentifizierung sind genau das Profil, das ein automatisierter Scanner binnen Stunden nach der Offenlegung massenhaft ausnutzt — auf das nächste Deployment-Fenster zu warten ist hier keine Option. — Simon Janvier
Zum Weiterlesen: die offizielle Sicherheitsmeldung von Next.js und die ausführlichen Hinweise im Repository vercel/next.js.
