Next.js: Kritische Sicherheitslücken ermöglichen Code-Ausführung
Veröffentlicht am: 31.08.2026 um 00:51 Uhr | Redaktion boerse-global.de
Vercel hat Sicherheitsupdates für das Webframework Next.js veröffentlicht, die zwei kritische Schwachstellen beheben. Beide Lücken hätten unter bestimmten Umständen eine nicht authentifizierte Remote-Codeausführung ermöglichen können.
Zwei kritische Schwachstellen betroffen
Bei den geschlossenen Sicherheitslücken handelt es sich zum einen um eine Windows-Pfad-Traversal-Schwachstelle mit der Kennung CVE-2026-75604, der ein CVSS-Wert von 9.0 zugeordnet wird. Sie betrifft die Versionen 13.4 bis 15.5.23 sowie 16.0 bis 16.3.2 und wurde in den Versionen 15.5.24 und 16.3.3 behoben.
Zum anderen handelt es sich um einen Heap-Overflow im AVIF-Bildformat, dokumentiert unter GHSA-2xp9-vwfh-vxw4 mit einem CVSS-Wert von 9.5. Diese Schwachstelle wirkt über die Bibliothek libheif bis Version 1.23.1 und betrifft ebenfalls einen breiten Versionsbereich von Next.js, konkret 10.0.0 bis 15.5.23 sowie den 16.x-Zweig bis 16.3.2.
Bislang keine bekannte Ausnutzung
Nach bisherigem Kenntnisstand ist keine aktive Ausnutzung der beiden Schwachstellen bekannt. Das im August 2026 veröffentlichte Sicherheitsupdate von Vercel enthält dennoch dringende Fixes für beide Fehler, da die hohen CVSS-Werte auf ein erhebliches Risiko für betroffene Installationen hindeuten.
Handlungsbedarf für Betreiber
Wer sich mit der Absicherung geschäftskritischer Anwendungen befasst, sollte über aktuelle Bedrohungsszenarien und Schutzmaßnahmen informiert sein. Dieses kostenlose E-Book unterstützt Verantwortliche dabei, IT-Sicherheitslücken proaktiv zu schließen und neue gesetzliche Anforderungen umzusetzen. Gratis-Ratgeber für proaktive IT-Sicherheit herunterladen
Angesichts der Schwere der Lücken – insbesondere der Möglichkeit einer nicht authentifizierten Codeausführung – sind Betreiber von Next.js-Anwendungen gut beraten, ihre Installationen zeitnah auf die aktualisierten Versionen zu bringen.
Die Windows-Pfad-Traversal-Lücke ist in den Versionen 15.5.24 und 16.3.3 geschlossen, während für die AVIF-Schwachstelle ein Update der zugrunde liegenden libheif-Bibliothek über die aktuellen Next.js-Versionen erforderlich ist.
Da beide Schwachstellen einen breiten Bereich älterer Versionen betreffen, dürfte ein größerer Teil der bestehenden Next.js-Deployments potenziell betroffen sein, sofern kein Update eingespielt wurde.
