보안 결함·치명적

Next.js: 원격 코드 실행이 가능한 심각한 취약점 2건

수정본 나옴웹사이트 운영자에게 영향

Next.js, sharp

당신에게 달라지는 점

눈에 보이는 영향은 없습니다. 사이트 운영자는 업데이트해야 합니다.

웹사이트를 만드는 데 널리 쓰이는 프레임워크 Next.js가 공격자가 서버를 장악할 수 있는 심각한 취약점 2건과 사이트를 먹통으로 만들 수 있는 취약점 1건을 고쳤습니다. 방문자는 할 일이 없고, Next.js를 쓰는 사이트 운영자는 업데이트해야 합니다.

시작 2026년 10월 14일업데이트 2026년 10월 14일

어떻게 해야 하나요?

당신: 할 일이 없습니다.
웹사이트나 앱을 운영한다면: next를 16.4.1(16.x) 또는 15.5.28(15.x)로 업그레이드하고 다시 배포하세요. use cache 취약점에는 우회 방법이 없습니다. 바로 업그레이드할 수 없다면 Next.js가 사용하는 sharp 버전이 0.35.5 이상인지 확인하세요.

수정본 나옴 · 2026년 10월 14일
Next.js 16.4.1과 15.5.28이 나왔습니다. 타입 배열을 반환하는 use cache 함수의 인증 없는 원격 코드 실행(GHSA-673q-mjm6-r5xr), glibc Linux에서 SVG를 처리하는 이미지 최적화 API의 원격 코드 실행(CVE-2026-96889), Server Actions의 서비스 거부(GHSA-p3m5-59mp-jv5r)를 고칩니다.
nextjs.org
원인 파악 · 2026년 10월 8일
Next.js가 상위 의존성의 심각 2건과 높음 1건을 다루는 정기 외 보안 업데이트를 10월 14일에 내놓겠다고 예고했습니다.
nextjs.org