Next.js acil güncellemesi kimlik doğrulamasız kod çalıştıran iki kritik açığı kapattı

Vercel, 14 Ekim 2026'da Next.js için olağan takvim dışında bir güvenlik güncellemesi yayımladı. Güncelleme, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabilen iki kritik açığı ve yüksek önemdeki bir hizmet engelleme (DoS) hatasını kapatıyor. Düzeltmeler Next.js 16.4.1 (Active LTS) ve 15.5.28 (Maintenance LTS) sürümlerinde yer alıyor. Next.js ekibinin açıklamasına göre bu düzeltmelerden ikisi, üst bağımlılıklardaki gecikmeler nedeniyle Eylül güvenlik sürümünden ertelenmişti.

Neler oldu?

GHSA-673q-mjm6-r5xr olarak izlenen ilk kritik açık, App Router'ı Cache Components ile kullanan uygulamaları etkiliyor. Next.js duyurusuna göre bir use cache fonksiyonu birden fazla typed array döndürdüğünde kimlik doğrulamasız kod çalıştırma mümkün hâle geliyor. Sorunun kökü React Server Components'ta bulunuyor ve React'in GHSA-xqc2-xf4c-x3h3 numaralı duyurusunda ele alınıyor. Next.js, bu açık için geçici çözüm olmadığını belirterek uygulamada böyle bir fonksiyon bulunmasa bile hemen güncelleme yapılmasını istiyor.

İkinci kritik açık CVE-2026-96889 (GHSA-2464-fhr4-w9xw), görsel optimizasyonunda kullanılan bir üst kütüphanedeki bellek hatası. The Hacker News'in aktardığına göre hata, Next.js'in paketle gelen sharp üzerinden eriştiği librsvg kütüphanesinde bulunuyor ve glibc tabanlı Linux sistemlerde kod çalıştırmaya yol açabiliyor. Vercel, Next.js açısından riski 9,5 olarak derecelendirirken Red Hat temel CVE'ye 7,8 puan verdi.

Üçüncü sorun olan GHSA-p3m5-59mp-jv5r ise özel hazırlanmış isteklerle sunucu işleminin işlemcisini tamamen meşgul edip diğer isteklere yanıt vermesini engelliyor. Yalnızca en az bir Server Action içeren App Router uygulamaları etkileniyor.

Kimler etkileniyor?

The Hacker News'e göre use cache açığı 16.0.0–16.4.0, SVG açığı 10.0.0–15.5.27 ile 16.0.0–16.4.0, DoS hatası ise 13.0.0–15.5.27 ile 16.0.0–16.4.0 sürümlerini etkiliyor. Yayın, Next.js'in varsayılan olarak SVG optimize etmediğini, riskin dangerouslyAllowSVG ayarı açıkken doğduğunu; ancak aynı kütüphanenin Node.js çalışma ortamında next/og görsellerini de oluşturduğunu hatırlatıyor.

The Hacker News, 15 Ekim itibarıyla açıkların saldırılarda kullanıldığına dair kamuya açık bir bildirim olmadığını aktardı. Yayın ayrıca use cache ve Server Actions duyurularının CVE kimliği taşımadığını ve npm audit'in kullandığı akışta yer almadığını, bu nedenle bağımlılık tarayıcılarının bunları gözden kaçırabileceğini vurguladı. Bu, Ağustos'tan bu yana Next.js'te görülen üçüncü görsel işleme kaynaklı kod çalıştırma sorunu.

Ne yapmalı?

• [email protected] veya [email protected] sürümüne geçip uygulamayı yeniden derleyin ve dağıtın.
• The Hacker News'e göre 15.5.28, eski sharp 0.34.x sürümlerini de kabul ediyor; npm ls sharp ile kontrol edip sharp sürümünün 0.35.5 veya üzeri olduğundan emin olun.
• SVG açığı için geçici önlem olarak Next.js ekibi sharp 0.35.5 veya üzerini öneriyor; sharp duyurusu SVG yüklemesini engelleme seçeneğini de anlatıyor.
• use cache ve Server Actions sorunları yalnızca güncellemeyle kapanıyor. Netlify, platformunun etkilenen görsel optimizasyon yolunu çalıştırmadığını belirtse de güncellemeyi öneriyor.