Vercel hat neue Next.js Sicherheitsupdates veröffentlicht, um zwei Schwachstellen mit kritischem Schweregrad zu schließen. Beide ermöglichen potenziell Remote Code Execution (RCE) ohne vorherige Authentifizierung – einmal über speziell präparierte AVIF-Bilder und einmal durch eine Path-Traversal-Schwäche auf bestimmten Windows-Server-Setups.
In diesem Beitrag ordnen wir ein, welche Versionen betroffen sind, wie die Angriffe technisch funktionieren und welche konkreten Schritte ihr jetzt einplanen solltet.
Kritische RCE-Risiken: Zwei unterschiedliche Angriffswege
Die beiden Lücken unterscheiden sich deutlich in ihrer Ursache. Gemeinsames Ziel der Fixes ist jedoch, unbefugte Codeausführung in Next.js-Anwendungen zu verhindern.
1) AVIF-Optimierung: Heap-Buffer-Overflow in der Bildverarbeitung
Next.js nutzt zur Bildoptimierung unter anderem das Paket sharp. sharp wiederum setzt auf die Bibliothek libheif zum Parsen von AVIF-Dateien. In dieser Kette steckt eine kritische Heap-Buffer-Overflow-Schwachstelle in libheif, die durch das Verarbeiten eines angreiferkontrollierten AVIF-Dokuments zu RCE führen kann.
Die Security-Einschätzung liegt bei CVSS 9.5. Laut Vercel wird die AVIF-bezogene Lücke u. a. mit GHSA-2xp9-vwfh-vxw4 geführt. Betroffen sind libheif-Versionen bis einschließlich v1.23.1.
Mechanisch hängt das Risiko mit einem fehlerhaften Skalierungs- und Speicherzugriffsverhalten zusammen: In einem konstruierten AVIF-Format sorgt eine Kombination aus verschachtelten Referenzen dafür, dass libheif einen Zielpuffer auf Grundlage eines Alpha-Plans mit 8 Bit Größe anlegt. Anschließend werden jedoch 16-Bit-Samplewerte in denselben Puffer geschrieben. Dadurch kommt es zu einem Schreiben über die Grenzen des reservierten Bereichs – überschrieben werden dabei etwa 16.384 Bytes über das erwartete Speicherende hinaus.
2) Windows-Path-Traversal: RCE über Dateipfad-Manipulation
Die zweite Lücke betrifft Next.js-Installationen, die auf Windows-Dateisystemen laufen und bestimmte Router-Konstellationen verwenden. Es handelt sich dabei um eine Path-Traversal-Schwäche, die als CVE-2026-75604 nachverfolgt wird, mit einem CVSS-Wert von 9.0.
Vercel betont dabei eine wichtige Eingrenzung: Betroffen sind Anwendungen, die sowohl Pages Router als auch App Router einsetzen – jedoch nur, wenn zusätzlich Cache Components fehlen. Linux- und macOS-Deployments sollen von dieser Windows-Lücke nicht betroffen sein.
Für betroffene Windows-Hostings gibt es laut Vercel keinen bekannten Workaround. Entsprechend lautet die klare Empfehlung: sofort upgraden, wenn ihr Server-seitig auf Windows ausführt.
Welche Next.js Versionen sind gefährdet?
Vercel nennt als betroffene Next.js-Baureihen einen größeren Korridor, in dem die Fixes noch nicht enthalten sind.
- Next.js 13.4 bis 15.5.23
- Next.js 16.0 bis 16.3.2
Wer in diesen Bereichen liegt, sollte die Next.js Sicherheitsupdates zeitnah einplanen – auch dann, wenn bisher keine Ausnutzung bekannt ist.
Fix-Versionen und konkrete Upgrade-Schritte
Vercel stellt zwei Versionen bereit, die die Lücken schließen. Für unterschiedliche Support-Linien werden passende Updates angeboten.
- Next.js 15.5.24 (Maintenance LTS)
- Next.js 16.3.3 (Active LTS)
Die Releases sind am 25. August 2026 erschienen. Das Upgrade erfolgt über npm mit dem jeweiligen Zielpaket, etwa:
- npm install next@15.5.24 für die 15.5-Linie
- npm install next@16.3.3 für die 16.3-Linie
Wichtig: Auch Nutzer, die bereits ein vorheriges Security-Update aus dem Juli erhalten haben, müssen die August-Patches trotzdem nachziehen – Fixes sind linien- und releaseseitig nicht automatisch vollständig kumulativ.
Wie der AVIF-Bug entschärft wird: Optimierung wird vorübergehend abgeschaltet
Bei der AVIF-Optimierung gibt es eine zusätzliche Schutzmaßnahme in den gepatchten Next.js-Versionen. Vercel beschreibt, dass die entsprechenden Releases die AVIF-Optimierung vorläufig deaktivieren, bis der Upstream-Fix in libheif vollständig weitergereicht ist.
Das ist besonders relevant, weil Next.js AVIF-Optimierung nicht grundsätzlich aktiviert. Laut Vercel wird die AVIF-Verarbeitung nur dann angestoßen, wenn eine Seite im next.config.js explizit ein Format wie image/avif in der Formats-Konfiguration hinzufügt.
Deployments ohne diese explizite Konfiguration sollen demnach nicht exponiert sein. Dennoch gilt für alle betroffenen Versionen: Mit den Sicherheitsupdates reduziert ihr das Risiko auch dann, wenn ihr AVIF nutzt oder eure Konfiguration künftig angepasst wird.
Was bedeutet das für Vercel-Kunden?
Vercel hebt hervor, dass Anwendungen, die über die Vercel-Plattform gehostet werden, vor beiden Schwachstellen geschützt sind und daher keine zusätzliche Upgrade-Aktion erfordern.
Als Grundlage verweist Vercel auf einen entsprechenden Eintrag im Changelog, der am selben Datum wie die Security-Releases veröffentlicht wurde.
Ausmaß der Ausnutzung und Zeitplan der Sicherheitsfreigaben
Bis zum 27. August 2026 wurden keine bestätigten Ausnutzungsvorfälle für die zwei August-Lücken gemeldet. Das heißt nicht, dass keine Angreifer recherchieren oder testen – es gibt lediglich keine bekannten Fälle, die öffentlich dokumentiert wurden.
Vercel verschob zudem die Veröffentlichung innerhalb des üblichen Rhythmus leicht nach vorne. Ursprünglich war die Security-Freigabe für den 26. August geplant, wurde aber einen Tag früher ausgerollt, nachdem man noch eine zusätzliche kritische Schwachstelle in einer Upstream-Abhängigkeit identifizierte.
In den begleitenden Security-Kommunikationen verweist Vercel auch darauf, dass das Tempo der Schwachstellenforschung branchenweit steigt – unter anderem durch Methoden, die mit KI-gestützter Entdeckung arbeiten.
Praktische Handlungsempfehlungen für Betreiber
Um die Next.js Sicherheitsupdates sinnvoll umzusetzen, solltet ihr jetzt strukturiert vorgehen:
- Versionsstand prüfen: Nutzt ihr Next.js innerhalb der benannten betroffenen Bereiche, plant sofort das Upgrade auf 15.5.24 oder 16.3.3.
- Windows-Setups bewerten: Läuft euer Server auf Windows und nutzt ihr eine passende Router-/Cache-Konstellation, behandelt die Situation als besonders dringend – Vercel nennt ausdrücklich keinen Workaround.
- AVIF-Konfiguration prüfen: Seht in next.config.js nach, ob image/avif aktiviert ist. Selbst wenn nicht, ist das Update für die betroffenen Versionen weiterhin die sauberste Maßnahme.
- Deployments auf Vercel einordnen: Wenn ihr ausschließlich über Vercel hostet, kann das Risiko durch Plattformmaßnahmen abgedeckt sein. Prüft dazu eure Projekt-/Changelog-Infos.
Warum Next.js zuletzt besonders stark im Fokus stand
Die aktuelle Meldung passt in eine Reihe von kritischen Security-Entdeckungen rund um Next.js in den letzten Jahren. Unter anderem gab es in der Vergangenheit Fälle, die das Umgehen von Schutzmechanismen betrafen (z. B. über Middleware) sowie schwerwiegende Schwächen in verwandten Komponenten.
Für Teams bedeutet das vor allem eins: Security-Patches sollten in eure regulären Release- und Wartungsprozesse fest eingeplant werden. Je schneller ihr aktualisiert, desto geringer ist das Zeitfenster für Angriffe.
Fazit
Mit den neuen Next.js Sicherheitsupdates schließt Vercel zwei kritische Lücken, die jeweils ohne Authentifizierung zu Remote Code Execution führen können: eine über manipulierte AVIF-Dateien in der Bildverarbeitung und eine Windows-Path-Traversal-Schwachstelle unter bestimmten Router- und Cache-Bedingungen.
Wenn ihr von den betroffenen Next.js-Versionen ausgeht, solltet ihr die Fixes sofort aktivieren – und bei Windows-Hostings besonders schnell handeln, da kein Workaround bekannt ist.
Quelle: https://thehackernews.com/2026/08/nextjs-patches-critical-avif-and.html
