Swati Khandelwal, 15 Ekim 2026, Açıklık / Web Güvenliği
Next.js 14 Ekim'de kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma imkanı veren iki kritik açığı ve yüksek önem dereceli bir hizmet reddi açığını düzelten acil güvenlik güncellemesi yayınladı.
Kod çalıştırma açıklarından biri React Server Components'te, diğeri ise Next.js'in SVG görsellerini işlemek için sharp paketi üzerinden kullandığı açık kaynaklı kütüphane librsvg'de bulunuyor.
Düzeltmeler mevcut Aktif ve Bakım uzun süreli destek sürümleri olan Next.js 16.4.1 ve 15.5.28'de yer alıyor.
Ne Düzeltildi
Güncelleme üç ayrı sorunu kapsıyor. Next.js'i geliştiren Vercel, her iki kod çalıştırma açığını da kritik olarak değerlendirdi, her biri CVSS 9.5 puanı aldı. Tablo, her sorunun etkilediği sürümleri ve düzeltildiği sürümü listeliyor.
Kimler risk altında
use cache üzerinden kod çalıştırma
16.0.0'dan 16.4.0'a
use cache fonksiyonu birden fazla tip dizisi döndüren, Cache Components etkinleştirilmiş App Router uygulamaları
SVG görselleri üzerinden kod çalıştırma (CVE-2026-96889,
10.0.0'dan 15.5.27'ye ve 16.0.0'dan 16.4.0'a
16.4.1 veya 15.5.28 ile sharp 0.35.5 veya üzeri
glibc tabanlı Linux üzerinde saldırgan tarafından sağlanan SVG dosyalarını sharp'a gönderen uygulamalar
Server Actions üzerinden hizmet reddi
13.0.0'dan 15.5.27'ye ve 16.0.0'dan 16.4.0'a
En az bir Server Action tanımlı App Router uygulamaları
Kimler Etkileniyor
İlk kod çalıştırma açığı React Server Components'te bulunuyor. Kullanıcı arayüzü bileşenlerini sunucuda çalıştıran bu React özelliğiyle ilgili danışma, react-server-dom-webpack, react-server-dom-parcel ve react-server-dom-turbopack paketlerini 19.0.0'dan 19.3.0'a kadar kapsıyor. Açık, "yanıtların birden fazla tip dizisi ve saldırgan kontrollü bir değer taşıdığı son derece nadir durumları" etkiliyor olarak tanımlanıyor.
Next.js uygulamasında tetikleyici, birden fazla tip dizisi döndüren bir use cache fonksiyonu. Dolayısıyla yalnızca Cache Components özelliğini, yani use cache'in arkasındaki özelliği etkinleştiren sürüm 16 uygulamaları risk altında. Vercel, uygulamanızda böyle bir fonksiyon olmasa bile yükseltme yapılmasını öneriyor.
İkinci açık, SVG görsellerini işleyen kütüphane librsvg'de bir bellek hatası. Next.js bu kütüphaneye paketlenen sharp paketi üzerinden ulaşıyor. Danışmaya göre kod çalıştırma, Next.js glibc tabanlı Linux üzerinde çalışırken mümkün.
Varsayılan olarak Next.js SVG dosyalarını optimize etmiyor. Görsellerin görüntü optimizörü üzerinden sunulması dangerouslyAllowSVG adlı ayarın açılması gerekiyor. Aynı kütüphane, next/og özelliği Node.js çalışma zamanında çalıştığında sosyal önizleme görsellerini oluşturmak için de kullanılıyor.
Üçüncü açık bir hizmet reddi sorunu. En az bir Server Action tanımlı App Router uygulamalarında, hazırlanmış istekler tek bir sunucu sürecini tam CPU kullanımına iterek diğer istekleri işlemesini durdurabiliyor. Pages Router'da olan uygulamalar veya Server Action içermeyen uygulamalar etkilenmiyor.
Maruziyet barındırma şekline göre değişebiliyor. Netlify, platformunun görüntü optimizörü kod yolunu çalıştırmadığını ve açıkların kendi kurulumunda sınırlı etkiye sahip olduğunu belirtti, yine de yükseltme önerdi.
Ne Yapılmalı
Sürüm 16 kullanıyorsanız Next.js 16.4.1'e, sürüm 15 kullanıyorsanız 15.5.28'e yükseltin, ardından yeniden derleyip yeniden dağıtın.
Vercel'in danışmasına göre Next.js'i yükseltmek paket yöneticilerinin düzeltilmiş sharp'ı otomatik olarak sağlamasını sağlıyor. Sürüm 16'da bu geçerli, çünkü 16.4.1 sharp 0.35.5 gerektiriyor.
Sürüm 15'te durum böyle olmayabilir. 15.5.28 hâlâ etkilenen eski sharp 0.34.x'i kabul ediyor ve mevcut bir kurulum üzerinden yükseltme yapmak bu sürümün kalmasına neden olabiliyor. npm ls sharp ile kontrol edin ve sürüm eskiyse sharp'ı 0.35.5 veya daha yenisine güncelleyin.
Next.js'i hemen yükseltme imkanınız yoksa görüntü açığı için geçici bir seçenek var: sharp'ın 0.35.5 veya üzeri olduğundan emin olun ya da sharp danışmasının tarif ettiği gibi sharp.block({ operation: ["VipsForeignLoadSvg"] }) ile SVG işleme engellensin. use cache ve Server Actions açıklarının bir geçici çözümü yok ve yalnızca yükseltme bunları kapatıyor.
15 Ekim itibarıyla use cache ve Server Actions danışmalarının CVE'si yoktu ve npm audit'in kullandığı npm danışma akışında görünmüyordu, bu yüzden bağımlılık tarayıcıları bunları bildirilmeyebilir. Görüntü açığı sharp'ın kendi danışması üzerinden görünüyor.
Görsel Açığı Neden Tekrarlıyor
Bu, Ağustos ayından bu yana Next.js'te görüntü işlemenin kod çalıştırma açığına yol açtığı üçüncü kez. Ağustosta sharp üzerinden erişilen libheif'teki bir hata, optimizörün hazırlanmış bir AVIF görüntüsünü işlerken kod çalıştırılmasına izin verdi. Eylülde next/og'daki bir açık, saldırgan kontrollü metnin ürettiği SVG'yi değiştirmesine olanak tanıdı.
Next.js bu kez kendi görüntü kodunu değiştirmedi. 16.4.1, 16.4.0 ile aynı optimizörü taşıyor ve görüntü açığını, yamalı librsvg 2.63.2'yi içeren sharp'ı 0.35.5'e yükseltmekle düzeltiyor.
librsvg hatası CVE-2026-96889 23 Eylül'de kamuoyuna açıklandı ve sharp'ta 27 Eylül'de düzeltildi. Red Hat buna 7.8 puan verdi ve istismar için kullanıcı etkileşimi gerektiğini, örneğin kötü amaçlı bir dosyanın açılmasını söyledi. Vercel, Next.js maruziyetini 9.5 olarak değerlendirdi ve ağ üzerinden erişilebilir olduğunu belirtti.
librsvg hatasını bildiren araştırmacı Rafael B. Dias, bunun eylüldeki next/og açığının arkasındaki zayıflık olduğunu söylüyor. O daha önceki açık için hazırlanmış çalışan bir istismar, belirli bir sunucu kurulumu için oluşturulmuş, yayımlandı.
sharp'ın bakımcısı ayrıca açığın kod çalıştırma ile sonuçlanıp yalnızca çökme ile sonuçlanacağının sunucunun Node.js derlemesine bağlı olabileceği konusunda uyarıyor, çünkü resmi Node.js ikili dosyaları bu tür bellek saldırılarına karşı sertleştirilmemiş.
React2Shell ile Aynı Değil
React Server Components açığı, Aralık 2025'te saldırganların büyük ölçekte istismar ettiği maksimum önem dereceli açık React2Shell ile aynı üç pakette bulunuyor. Bu açık çok daha dar kapsamlı. React, bunu "yanıtların birden fazla tip dizisi ve saldırgan kontrollü bir değer taşıdığı son derece nadir durumları" etkiliyor olarak tanımlıyor.
15 Ekim itibarıyla 14 Ekim'de düzeltile üç açığın da saldırılarda kullanıldığına dair kamuya açık bir rapor yok.
