Next.js: patch în afara ciclului pentru două RCE critice (CVSS 9.5)

Vercel a publicat actualizări de securitate în afara ciclului obișnuit de lansări pentru Next.js, framework-ul React folosit de foarte multe aplicații web. Corecturile închid două vulnerabilități critice care permit unui atacator de la distanță neautentificat să execute cod pe server. Știrea a fost publicată de The Hacker News pe 15 octombrie 2026 și preluată în avizele INCIBE-CERT (Spania, 16 octombrie) și SingCERT al Cyber Security Agency din Singapore (20 octombrie).

Potrivit SingCERT, ambele vulnerabilități au un scor CVSS v4.0 de 9.5 din 10. Niciuna dintre cele trei surse nu vorbește despre exploatare activă sau exploit-uri publice și nu au fost publicați indicatori de compromitere.

Cele două vulnerabilități

GHSA-673q-mjm6-r5xr (Cache Components). Afectează aplicațiile care folosesc App Router cu Cache Components, atunci când o funcție cu directiva use cache returnează mai multe typed array. În această situație, potrivit SingCERT, un atacator de la distanță fără credențiale poate ajunge la executarea de cod. La data avizului SingCERT (20 octombrie) nu fusese încă atribuit un CVE: deocamdată vulnerabilitatea se identifică prin codul avizului GitHub.

CVE-2026-96889 (optimizarea imaginilor). Este o eroare de gestionare a memoriei într-o bibliotecă externă (upstream) folosită de funcția de optimizare a imaginilor din Next.js. Potrivit SingCERT, poate fi exploatată atunci când Next.js rulează pe Linux cu glibc și duce tot la executare de cod de la distanță fără autentificare. Titlul The Hacker News leagă această vulnerabilitate de procesarea fișierelor SVG; celelalte surse disponibile vorbesc în general despre optimizarea imaginilor. Printre referințele SingCERT se află și avizul GitHub GHSA-2464-fhr4-w9xw.

Sursele nu indică despre ce bibliotecă externă este vorba și nici detaliile erorii de memorie.

Versiuni afectate și corectate

Ramură	Versiuni afectate	Versiune corectată
16.x	de la 16.0.0 la 16.4.0	16.4.1
10.x – 15.x	de la 10.0.0 la 15.5.27	15.5.28

INCIBE-CERT precizează că vulnerabilitatea din Cache Components afectează doar ramura 16 (de la 16.0.0 la 16.4.0), în timp ce cea din optimizarea imaginilor afectează atât versiunile de la 10.0.0 la 15.5.27, cât și ramura 16 până la 16.4.0. Textul avizului spaniol pe care l-am putut citi este incomplet, așa că condițiile exacte trebuie verificate în avizele oficiale Next.js.

Vectorul de atac

În ambele cazuri atacul vine prin rețea, împotriva unei aplicații expuse, fără autentificare și fără interacțiunea utilizatorului: în clasificarea MITRE ATT&CK este cazul tipic de T1190, Exploit Public-Facing Application. Un RCE pe un server Next.js îi dă atacatorului privilegiile procesului Node.js și, odată cu ele, acces la variabilele de mediu, cheile API, credențialele bazelor de date și serviciile interne accesibile de pe server.

Optimizarea imaginilor este activă implicit în Next.js și se folosește prin componenta next/image: de aceea a doua vulnerabilitate poate afecta multe aplicații, deși sursele nu spun câte.

De ce contează pentru companiile europene și italiene

Next.js stă la baza site-urilor companiilor, magazinelor online, portalurilor pentru clienți și furnizori, panourilor de administrare și produselor SaaS. Rulează des în containere sau pe servere administrate de agenții și furnizori externi, pe care compania nu le cunoaște mereu în detaliu. Intervalul 10–15 afectat acoperă mai mulți ani de versiuni: chiar și aplicații vechi și puțin întreținute pot fi vulnerabile.

Pentru entitățile NIS2, cazul ține de gestionarea vulnerabilităților și a lanțului de aprovizionare: merită documentat ce aplicații folosesc Next.js, cine le întreține și când au fost actualizate. Orice incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia al ACN). În sănătate trebuie verificate portalurile pentru pacienți, programările online și aplicațiile web ale furnizorilor, care pot prelucra date medicale.

Ce să faci acum

1. Găsește aplicațiile Next.js: în repository-uri caută dependența next în package.json și verifică versiunea efectivă cu npm ls next (sau cu managerul de pachete pe care îl folosești). Cere confirmare agențiilor și furnizorilor pentru aplicațiile pe care nu le dezvolți tu.
2. Actualizează la 16.4.1 sau la 15.5.28, așa cum recomandă avizele. Pentru aplicațiile rămase la versiunile 10–14, avizele indică drept versiune corectată 15.5.28: planifică trecerea la noua versiune principală și testele aferente.
3. Refă build-ul și publică din nou: nu ajunge să actualizezi fișierul de dependențe. Imaginile de container și build-urile deja distribuite conțin versiunea veche până când sunt refăcute.
4. Prioritizează aplicațiile expuse pe Internet, pe cele care folosesc use cache cu Cache Components și pe cele care rulează pe Linux cu glibc.
5. Dacă nu poți actualiza imediat, sursele nu indică soluții temporare. Ia în calcul limitarea accesului la aplicație și verifică în avizele oficiale Next.js dacă există măsuri alternative, de exemplu pentru optimizarea imaginilor. Nu amâna actualizarea bazându-te pe tipul de sistem: condiția glibc privește doar una dintre cele două vulnerabilități.
6. Caută semne de compromitere: cereri anormale către endpoint-ul de optimizare a imaginilor (/_next/image), procese copil neașteptate pornite de procesul Node.js, conexiuni de ieșire neobișnuite de pe serverul aplicației. Dacă găsești urme suspecte, schimbă cheile și credențialele accesibile din aplicație.

Cum ajută ARXDOME

Inventarul ARX Sentry listează software-ul, procesele și porturile serverelor cu agent: te ajută să vezi unde rulează aplicații Node.js care trebuie verificate. ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, iar ARX Expose serviciile publice ale companiei tale și produsele recunoscute: împreună te ajută să decizi cu ce aplicații să începi.

Ultima actualizare: 20 octombrie 2026