Zum Inhalt springenistheinternetok
Alle Vorfälle

Sicherheitslücke·Kritisch

Next.js: zwei kritische Lücken für Remote-Codeausführung

Fix verfügbarBetrifft Website-Betreiber
Next.js, sharp

Was sich für dich ändert

Für Sie nichts sichtbar; Website-Betreiber müssen aktualisieren.

Next.js, ein weit verbreitetes Framework zum Bau von Websites, hat zwei kritische Lücken behoben, über die ein Angreifer einen Server übernehmen konnte, dazu eine, die Seiten lahmlegen kann. Besucher müssen nichts tun; Betreiber von Seiten mit Next.js sollten aktualisieren.

Beginn: 14. Okt. 2026Aktualisiert: 14. Okt. 2026

Auf X posten

Was soll ich tun?

Du
Nichts zu tun.
Wenn du eine Website oder App betreibst
Aktualisieren Sie next auf 16.4.1 (16.x) oder 15.5.28 (15.x) und stellen Sie neu bereit. Für die use-cache-Lücke gibt es keine Umgehungslösung. Wenn Sie nicht sofort aktualisieren können, stellen Sie sicher, dass die von Next.js verwendete sharp-Version 0.35.5 oder neuer ist.

Was betroffen ist

CVE-2026-96889

Zeitverlauf

  1. Fix verfügbar · 14. Okt. 2026

    Next.js 16.4.1 und 15.5.28 erscheinen: Sie beheben eine Remote-Codeausführung ohne Anmeldung in use-cache-Funktionen, die typisierte Arrays zurückgeben (GHSA-673q-mjm6-r5xr), eine Remote-Codeausführung in der Bildoptimierungs-API mit SVG unter Linux mit glibc (CVE-2026-96889) und einen Denial-of-Service in den Server Actions (GHSA-p3m5-59mp-jv5r).

    nextjs.org

  2. Erkannt · 8. Okt. 2026

    Next.js kündigt für den 14. Oktober ein außerplanmäßiges Sicherheitsupdate an, das zwei kritische und ein schwerwiegendes Problem in vorgelagerten Abhängigkeiten abdeckt.

    nextjs.org

Quellen