Vercel heeft Next.js patches uitgebracht voor twee kwetsbaarheden met de hoogste ernst (critical). Beide issues kunnen leiden tot unauthenticated remote code execution, dus aanvallers hebben geen account nodig en kunnen code uitvoeren op kwetsbare servers. Eén probleem loopt via het verwerken van AVIF-afbeeldingen; het andere via een path traversal-fout op Windows-hosts.
Voor organisaties die Next.js gebruiken, is dit vooral relevant als je omgeving op Windows draait of als je AVIF-optimalisatie expliciet hebt ingeschakeld. Hieronder lees je wat er precies aan de hand is, wie geraakt wordt en hoe je snel kunt upgraden.
Wat Vercel heeft gepatcht in Next.js
De updates richten zich op twee critical-severity kwetsbaarheden die beide uitkomen op RCE zonder authenticatie. Vercel heeft de fixes doorgevoerd in twee ondersteunde release-lijnen: de Maintenance LTS en de Active LTS.
De gepatchte versies zijn uitgekomen op 25 augustus 2026:
- Next.js 15.5.24 (Maintenance LTS)
- Next.js 16.3.3 (Active LTS)
Gebruikers upgraden volgens het advies van Vercel door:
- voor de 15.5-lijn: npm install next@15.5.24
- voor de 16.3-lijn: npm install next@16.3.3
Let op: de kwetsbaarheden gelden voor Next.js 13.4 tot en met 15.5.23 en voor 16.0 tot en met 16.3.2.
Windows path traversal: CVE-2026-75604 (CVSS 9.0)
De eerste kwetsbaarheid is een Windows path traversal issue met identificatie CVE-2026-75604. De ernst wordt onderbouwd met een CVSS-score van 9.0. In het bijzonder treft dit Next.js-toepassingen die op een Windows filesystem draaien én die gebruikmaken van een specifieke routeropzet.
Vercel geeft aan dat het probleem betrekking heeft op apps die zowel:
- werken met Pages Router én App Router, én
- geen Cache Components gebruiken
Daarbij geldt een belangrijk detail: Linux en macOS deployments zijn niet beïnvloed.
Volgens Vercel is er geen bekende workaround voor Windows-hosted applicaties. Daarom is het advies heel direct: upgrade onmiddellijk als je server op Windows draait.
Welke context maakt dit extra riskant?
Path traversal is een categorie die aanvallers in staat kan stellen om buiten de bedoelde bestandslocaties te lezen of te beïnvloeden. Omdat de uitkomst hier wordt beschreven als unauthenticated remote code execution, moet je dit niet zien als een “alleen uitlek”-issue. Het vraagt om snelle actie, juist omdat de aanval zonder authenticatie kan plaatsvinden.
Als je ook te maken hebt met supply chain of credentials in je keten, kan het helpen om breder te kijken naar hoe aanvallen zich kunnen vastzetten in bouw- en uitvoerprocessen. Zie bijvoorbeeld de context rond supply chain en credentials in TeamPCP-arrestaties: supply chain en credentials.
AVIF-kwetsbaarheid: RCE via image processing
Naast de Windows issue is er een AVIF-gedreven kwetsbaarheid die via Next.js’ image-optimalisatie loopt. Next.js gebruikt hiervoor de sharp library. sharp maakt op zijn beurt gebruik van libheif om AVIF-bestanden te parseren.
In libheif is een heap buffer overflow gevonden die kan leiden tot remote code execution wanneer Next.js een AVIF verwerkt dat door een aanvaller wordt aangeleverd.
De kwetsbaarheid is gelabeld als GHSA-2xp9-vwfh-vxw4 met een CVSS v4-score van 9.5. Onderliggend gaat het om een overflow in de image scaling code van libheif, met een bredere beschrijving als GHSA-g89c-p67h-r497.
Welke versies en voorwaarden zijn van toepassing?
De AVIF issue raakt alle libheif versies tot en met v1.23.1. Voor Next.js geldt dat de kwetsbaarheid voorkomt in:
- Next.js 10.0.0 tot en met 15.5.23
- alle 16.x releases tot en met 16.3.2
Cruciaal is echter de blootstelling: Next.js schakelt AVIF-optimalisatie niet standaard in. Vercel beschrijft dat AVIF-optimalisatie alleen actief is als een site in next.config.js expliciet image/avif toevoegt aan de formats-configuratie.
Als je die configuratie niet hebt, dan ben je in de basis niet blootgesteld aan dit AVIF-pad.
Wat is het aanvalspatroon volgens de advisories?
De beschreven trigger draait om een speciaal geconstrueerd AVIF-bestand met nested identity-derivation en auxiliary item references. Daardoor bouwt libheif tijdens decoding een afbeelding met Alpha plane entries van verschillende bitdieptes.
Vervolgens allocateert de scaler een bestemmingbuffer op basis van de eerste, 8-bit Alpha-invoer, terwijl hij daarna 16-bit samplewaarden vanuit de tweede Alpha-entry naar dezelfde buffer schrijft. Dat resulteert in een schrijfactie buiten de grenzen: ongeveer 16.384 bytes voorbij de allocatie.
De onderzoekers voegden ook een proof-of-concept toe die de heap-corruptie reproduceert onder een address sanitizer build. Hun claim is dat ze RCE konden bereiken op meerdere applicaties; die claim is niet onafhankelijk bevestigd.
AVIF fix: optimalisatie wordt tijdelijk uitgezet
De Next.js patches doen meer dan alleen “doorgeven” wat libheif oplost. In de gepatchte Next.js releases wordt AVIF-optimalisatie tijdelijk uitgeschakeld tot de upstream fix volledig is doorgevoerd. Dit voorkomt dat je, zelfs na de update, nog via dezelfde AVIF-route in de risicosituatie terechtkomt.
Daarmee is het beleid in feite dubbel: je update naar de patched Next.js-versies, en je krijgt bovendien een extra veiligheidsrem door de AVIF-optimalisatie te pauzeren.
Daarbij is er ook een praktische check: de Hacker News meldde op 27 augustus 2026 dat libheif versie v1.23.2 nog niet beschikbaar was via GitHub, wat timing en voortgang van upstream-reparaties verklaart.
Updates voor Vercel-hosted apps vs. self-hosted
Vercel geeft in een changelog-item aan dat applicaties die op Vercel zelf gehost worden, al beschermd zijn tegen beide kwetsbaarheden en dus geen upgrade vereisen. Dat komt omdat Vercel de omgeving beheert en de betreffende componenten heeft gemitigeerd.
Voor self-hosted omgevingen geldt het omgekeerde: daar moet je de patched Next.js versie installeren, en met name Windows-hosts moeten rekening houden met het ontbreken van een workaround.
Waarom dit past in de bredere trend van security-issues
De afgelopen twee jaar stond Next.js meerdere keren in het nieuws met critical security disclosures. Vercel noemt eerdere voorbeelden zoals een middleware bypass flaw (maart 2025) die authenticatiechecks kon omzeilen in self-hosted deployments, en een React Server Components deserialisatieprobleem (React2Shell) dat binnen korte tijd actief werd misbruikt nadat het publiek werd gemaakt.
In juni/juli 2026 ligt daarbij ook een nadruk op hoe snel kwetsbaarheidsonderzoek kan opschalen. Vercel kondigde een formeel maandelijks securityprogramma aan, onder andere gedreven door de snelheid waarmee onderzoekers dankzij moderne tooling en LLM-assist gemenerfouten kunnen vinden.
Dit onderstreept één les: ook als je “waarschijnlijk niet geraakt” bent, kan een afhankelijkheid of configuratie toch een route openen. Daarom is het verstandig om naast patchen ook je exposure aan componenten en features scherp te krijgen.
Heb je bijvoorbeeld AI-gestuurde beveiliging of security operations in gebruik? Dan is het relevant om te zorgen dat je detectie niet alleen op alerts draait, maar op bewijs en context. In dat kader kan de aanpak uit Security operations klaar voor AI-aanvallen: zo pak je het aan helpen als denkkader voor volwassen incidentafhandeling.
Wat je nu kunt doen (actiepunten)
Om de impact van deze Next.js patches te beperken, kun je vandaag nog het volgende doen:
- Upgrade Next.js naar 15.5.24 of 16.3.3 volgens je versie-lijn.
- Controleer Windows deployments: draait je server op Windows en gebruik je een setup met zowel Pages Router als App Router (zonder Cache Components)? Dan is upgrade extra urgent, zonder workaround.
- Beoordeel AVIF-optimalisatie: staat image/avif in next.config.js als geformatteerde output? Zo ja, dan is de AVIF-route relevant.
- Inventariseer afhankelijkheden: de kwetsbaarheid loopt via sharp/libheif. Ook wanneer Next.js zelf patched is, is het nuttig om je dependency updates bij te houden.
Verder is het verstandig om na de upgrade te testen of je build- en image pipeline nog werkt zoals verwacht, zeker omdat AVIF-optimalisatie in de patched releases tijdelijk wordt uitgezet tot upstream fix-propagatie is afgerond.
Conclusie
De nieuwe Next.js patches van Vercel verhelpen twee critical-severity kwetsbaarheden die beiden kunnen uitmonden in unauthenticated remote code execution. Eén probleem treft vooral Windows-hosted Next.js apps via een path traversal fout (CVE-2026-75604). De andere kwetsbaarheid komt voort uit AVIF image processing via sharp en libheif en raakt vooral omgevingen waar AVIF-optimalisatie expliciet is ingeschakeld.
Vervang daarom je huidige Next.js versies zo snel mogelijk door Next.js 15.5.24 of 16.3.3, met extra urgentie voor Windows en voor teams die AVIF verwerken. Zo verklein je de kans dat een aanvaller misbruik kan maken van een route die zonder authenticatie toegang kan verschaffen.
Bron: https://thehackernews.com/2026/08/nextjs-patches-critical-avif-and.html
