Next.js, 14 Ekim'de planlı sürüm döngüsü dışında bir güvenlik güncellemesi yayımladı. Güncelleme, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına olanak tanıyan iki kritik açığı ve buna ek olarak yüksek önem dereceli bir hizmet reddi açığını kapatıyor. Düzeltmeler, aktif uzun süreli destek sürümü olan Next.js 16.4.1 ile bakım uzun süreli destek sürümü olan 15.5.28'de yer alıyor.
Üç Ayrı Güvenlik Açığı
Next.js'i geliştiren Vercel, iki kod çalıştırma açığını da kritik olarak derecelendirdi ve her birine CVSS üzerinden 9,5 puan verdi. Üçüncü sorun ise yüksek önem dereceli bir hizmet reddi açığı olarak sınıflandırıldı.
İlk açık, React'in sunucu tarafında kullanıcı arayüzü bileşenlerini çalıştıran özelliği olan React Server Components'ta bulunuyor. React'in güvenlik duyurusu, react-server-dom-webpack, react-server-dom-parcel ve react-server-dom-turbopack paketlerinin 19.0.0 ile 19.3.0 arasındaki sürümlerini kapsıyor. Açık, "yanıtların birden fazla typed array taşıdığı ve saldırgan tarafından kontrol edilen bir değerin bulunduğu son derece nadir durumları" etkiliyor. Next.js özelinde tetikleyici koşul, birden fazla typed array döndüren bir use cache fonksiyonunun varlığı; dolayısıyla yalnızca Cache Components özelliğini etkinleştirmiş sürüm 16 uygulamaları risk altında. Vercel, uygulamanızda böyle bir fonksiyon olmasa bile yükseltme yapılmasını öneriyor. Açık GHSA-673q-mjm6-r5xr olarak tanımlanıyor ve 16.0.0 ile 16.4.0 arasındaki sürümleri etkiliyor.
İkinci açık, SVG görüntülerini işleyen librsvg kütüphanesindeki bir bellek hatasından kaynaklanıyor. Next.js bu kütüphaneye sharp paketi aracılığıyla ulaşıyor. Güvenlik danışma belgesine göre kod çalıştırma, Next.js'in glibc tabanlı Linux üzerinde çalıştığı durumlarda mümkün. CVE-2026-96889 ve GHSA-2464-fhr4-w9xw olarak kayıtlı bu açık, 10.0.0 ile 15.5.27 arasındaki ve 16.0.0 ile 16.4.0 arasındaki sürümleri etkiliyor.
Üçüncü sorun ise hizmet reddi açığı. En az bir Server Action tanımlayan App Router uygulamalarında, özel olarak hazırlanmış istekler bir sunucu sürecini tam CPU kullanımına zorlayarak diğer isteklere yanıt vermesini engelleyebiliyor. Pages Router kullanan ya da hiç Server Action tanımlamayan uygulamalar bu açıktan etkilenmiyor. GHSA-p3m5-59mp-jv5r koduyla takip edilen bu açık, 13.0.0 ile 15.5.27 arasındaki ve 16.0.0 ile 16.4.0 arasındaki sürümleri kapsıyor.
SVG Açığının Teknik Arka Planı
Next.js varsayılan olarak SVG dosyalarını optimize etmiyor. Bu dosyaların görüntü iyileştirici üzerinden sunulabilmesi için dangerouslyAllowSVG adlı ayarın açılması gerekiyor. Aynı librsvg kütüphanesi, sosyal önizleme görüntüleri oluşturan next/og özelliği Node.js çalışma zamanında çalışırken de devreye giriyor.
librsvg açığı CVE-2026-96889, 23 Eylül'de kamuoyuyla paylaşıldı ve sharp'ta 27 Eylül'de düzeltildi. Red Hat açığa 7,8 puan verdi ve istismar için kullanıcı etkileşiminin gerektiğini belirtti. Vercel ise Next.js üzerindeki etkiyi 9,5 olarak puanladı ve açığın ağ üzerinden erişilebilir olduğunu vurguladı. Açığı bildiren araştırmacı Rafael B. Dias, bu zafiyetin Eylül ayındaki next/og açığının da temelinde yattığını açıkladı. O önceki açık için belirli bir sunucu yapılandırmasına özgü çalışan bir istismar kodu da yayımlandı. sharp'ın geliştiricisi ise açığın kod çalıştırmayla mı yoksa yalnızca çökmesiyle mi sonuçlanacağının sunucunun Node.js derlemesine bağlı olduğunu, çünkü resmi Node.js ikili dosyalarının bu tür bellek saldırılarına karşı sertleştirilmediğini uyardı.
Bu, Ağustos ayından bu yana Next.js'te görüntü işlemenin üçüncü kez kod çalıştırma açığına yol açması. Ağustos'ta sharp üzerinden erişilen libheif'teki bir hata, iyileştirici özel hazırlanmış bir AVIF görüntüsünü işlerken kod çalıştırılmasına imkân tanımıştı. Eylül'de ise next/og'daki bir açık saldırgan tarafından kontrol edilen metnin oluşturulan SVG'yi değiştirmesine izin vermişti. Bu kez Next.js kendi görüntü kodunu değiştirmedi; 16.4.1, aynı iyileştiriciyi 16.4.0 ile paylaşıyor ve açığı, yamalı librsvg 2.63.2 sürümünü içeren sharp 0.35.5'e yükselerek kapatıyor.
React2Shell ile Karıştırılmamalı
React Server Components açığı, Aralık 2025'te açıklanan ve saldırganların geniş çapta istismar ettiği maksimum önem dereceli React2Shell açığıyla aynı üç pakette bulunuyor. Ancak bu yeni açık çok daha dar kapsamlı. React, açığı "yanıtların birden fazla typed array taşıdığı ve saldırgan tarafından kontrol edilen bir değerin bulunduğu son derece nadir durumları" etkiliyor olarak tanımlıyor. 15 Ekim itibarıyla 14 Ekim'de kapatılan üç açığın herhangi birinin saldırılarda kullanıldığına dair kamuya açık bir rapor bulunmuyor.
Barındırma Ortamına Göre Farklılaşan Etki
Netlify, kendi platformunun görüntü iyileştirici kod yolunu çalıştırmadığını ve açıkların kendi yapılandırmasında sınırlı etkiye sahip olduğunu açıkladı; bununla birlikte yükseltmeyi hâlâ öneriyor.
Yapılması Gerekenler
Sürüm 16 kullanıyorsanız Next.js 16.4.1'e, sürüm 15 kullanıyorsanız 15.5.28'e yükseltin; ardından uygulamayı yeniden derleyip dağıtın. Vercel'in danışma belgesi, Next.js'i yükseltmenin paket yöneticilerinin düzeltilmiş sharp'ı otomatik olarak sağlamasına yol açacağını belirtiyor. Sürüm 16'da bu geçerli çünkü 16.4.1 sharp 0.35.5'i zorunlu kılıyor. Sürüm 15'te ise durum farklı olabilir: 15.5.28 hâlâ etkilenen eski sharp 0.34.x sürümünü kabul ediyor ve mevcut bir kurulum üzerine yapılan yükseltme o sürümü yerinde bırakabilir. npm ls sharp komutuyla kontrol edin; daha eski bir sürüm görüyorsanız sharp'ı 0.35.5 veya üzerine güncelleyin.
Next.js'i hemen yükseltemiyorsanız görüntü açığı için geçici bir seçenek mevcut: sharp'ın 0.35.5 veya üzeri olduğundan emin olun ya da sharp danışma belgesinde açıklandığı gibi SVG işlemeyi sharp.block({ operation: ["VipsForeignLoadSvg"] }) komutuyla engelleyin. use cache ve Server Actions açıkları için herhangi bir geçici çözüm bulunmuyor; bu açıkları yalnızca yükseltme kapatıyor. 15 Ekim itibarıyla use cache ve Server Actions danışma belgelerinin CVE numarası yok ve npm audit'in kullandığı npm danışma akışında görünmüyor; bu nedenle bağımlılık tarayıcıları bu konuda uyarı vermeyebilir. Görüntü açığı ise sharp'ın kendi danışma belgesi aracılığıyla yüzeye çıkıyor.
Sıkça Sorulan Sorular
Bu güvenlik güncellemesi hangi Next.js sürümlerini kapsıyor?
Düzeltmeler Next.js 16.4.1 ve 15.5.28 sürümlerinde yer alıyor. 16.4.1 aktif uzun süreli destek, 15.5.28 ise bakım uzun süreli destek sürümüdür.
SVG görüntü açığından hangi uygulamalar etkileniyor?
glibc tabanlı Linux üzerinde çalışan ve saldırgan tarafından sağlanan SVG dosyalarını sharp'a ileten uygulamalar risk altında. Next.js varsayılan olarak SVG'leri optimize etmiyor; bu nedenle yalnızca dangerouslyAllowSVG ayarını açmış veya Node.js çalışma zamanında next/og kullanan uygulamalar doğrudan maruz kalıyor.
use cache açığı için geçici bir çözüm var mı?
Hayır. use cache ve Server Actions açıkları için herhangi bir geçici çözüm bulunmuyor; bu açıkları yalnızca Next.js'i güncel sürüme yükseltmek kapatıyor.
Bağımlılık tarayıcıları bu açıkları tespit edebiliyor mu?
15 Ekim itibarıyla use cache ve Server Actions danışma belgelerinin CVE numarası yok ve npm audit'in kullandığı npm danışma akışında görünmüyor. Dolayısıyla bağımlılık tarayıcıları bu iki açık hakkında uyarı vermeyebilir. SVG görüntü açığı ise sharp'ın kendi danışma belgesi aracılığıyla tespit edilebiliyor.
Bu açıklar şu ana kadar saldırılarda kullanıldı mı?
15 Ekim itibarıyla 14 Ekim'de kapatılan üç açığın herhangi birinin gerçek saldırılarda kullanıldığına dair kamuya açık bir rapor bulunmuyor.
