BEDROHUNG
Vercel veröffentlicht Sicherheitsupdates für zwei kritische Schwachstellen im Webframework Next.js. Beide Lücken erlauben unauthentifizierten Angreifern potenziell die Ausführung von Remote Code.
CVE-2026-75604 ist eine Path-Traversal-Schwachstelle, die Next.js-Anwendungen auf Windows-Servern betrifft. Verwundbar sind Installationen, die sowohl den Pages Router als auch den App Router ohne Cache Components nutzen und auf einem Windows-Dateisystem laufen. Linux und macOS bleiben nach aktuellem Stand verschont. Einen Workaround gibt es laut Vercel nicht – betroffene Installationen müssen umgehend aktualisiert werden.
Die zweite Schwachstelle betrifft die Image Optimization API bei der Verarbeitung von AVIF-Dateien. Next.js nutzt dafür das Paket sharp, das wiederum auf die Bibliothek libheif zugreift. Eine Heap-basierte Buffer-Overflow-Schwachstelle in libheif kann bei präparierten AVIF-Dateien Code zur Ausführung bringen. Betroffen sind Next.js-Versionen von 10.0.0 bis 15.5.23 sowie 16.x bis 16.3.2. Die gepatchten Versionen deaktivieren die AVIF-Optimierung zunächst vollständig, bis der Fix in der zugrunde liegenden Bibliothek vollständig verfügbar ist. Eine aktive Ausnutzung beider Schwachstellen ist derzeit nicht bekannt.
Auf Vercel gehostete Anwendungen sind laut Hersteller bereits geschützt und benötigen kein manuelles Update. Wer Next.js selbst hostet, sollte umgehend patchen, sofern eine betroffene Version oder Konfiguration im Einsatz ist – insbesondere bei Windows-Hosting oder aktivierter AVIF-Unterstützung.
Was jetzt zu tun ist:
- Sicherheitsupdate umgehend einspielen
- Anwendungen mit Image Optimization API auf Verarbeitung nicht vertrauenswürdiger AVIF-Dateien prüfen
PRÄVENTION & DETEKTION
Eine EDR/XDR-Lösung erkennt ungewöhnliche Prozesse, Skriptausführungen oder Netzwerkverbindungen, die auf eine erfolgreiche Remote-Code-Ausführung über die Schwachstelle hindeuten.
Autor: Michael Niers
