Am 25. August 2026 hat Vercel die Notfallupdates Next.js 15.5.24 und 16.3.3 veröffentlicht, die zwei kritische remote code execution (RCE)-Schwachstellen ohne Authentifizierung beheben. Die erste ist ein path traversal auf Servern mit Windows-Dateisystem (CVE-2026-75604, CVSS 9.0), die zweite ein heap overflow bei der Verarbeitung speziell präparierter AVIF-Bilder (CVSS v4: 9.5). Für die Windows-Schwachstelle existiert kein Workaround – die einzige Schutzmaßnahme für selbst gehostete Anwendungen ist ein sofortiges Update. Anwendungen auf der Vercel-Plattform sind auf Infrastrukturebene geschützt und erfordern keine Maßnahmen durch die Nutzer.
CVE-2026-75604: path traversal unter Windows
Die Schwachstelle CVE-2026-75604 wird als CWE-22 (Improper Limitation of a Pathname to a Restricted Directory) klassifiziert und mit 9,0 nach CVSS v3.1 bewertet. Sie betrifft Next.js-Anwendungen, die gleichzeitig Pages Router und App Router ohne Cache Components verwenden und auf einem Server mit Windows-Dateisystem laufen.
Betroffene Versionen:
- Next.js von 13.4 bis einschließlich 15.5.23
- Next.js von 16.0 bis einschließlich 16.3.2
Deployments unter Linux und macOS sind von dieser Schwachstelle nicht betroffen. Laut der Empfehlung von Vercel existiert für betroffene Anwendungen auf Windows kein Workaround – ein sofortiges Update ist erforderlich. Der konkrete Angriffsmechanismus wird in der Empfehlung nicht offengelegt. Die Entdeckung der Schwachstelle wird den Forschern evolutionstorm und B0RI zugeschrieben.
heap overflow über AVIF-Bilder
Die zweite Schwachstelle (GHSA-2xp9-vwfh-vxw4, CVSS v4: 9.5) steht im Zusammenhang mit der Verarbeitung von Bildern im AVIF-Format. Next.js verwendet die Bibliothek sharp zur Bildoptimierung, und sharp stützt sich wiederum auf die C-Bibliothek libheif zum Parsen von AVIF-Dateien.
Das zugrunde liegende Problem ist ein heap overflow in libheif (CVSS v3.1: 9.8) in der Bildskalierungsfunktion. Eine speziell präparierte AVIF-Datei mit verschachtelten Referenzen auf abgeleitete Identity-Elemente und Hilfselemente veranlasst libheif, ein dekodiertes Bild mit zwei Alpha-Kanal-Einträgen unterschiedlicher Bittiefe zu erzeugen. Der Skalierer allokiert den Zielpuffer anhand der Größe des ersten 8-Bit-Eintrags, schreibt dann aber 16-Bit-Werte aus dem zweiten Eintrag in denselben Puffer und überschreibt dabei ungefähr 16 384 Byte jenseits des zugewiesenen Bereichs.
Die betroffenen Versionen für die AVIF-Schwachstelle sind deutlich zahlreicher:
- Next.js von 10.0.0 bis einschließlich 15.5.23
- Next.js von 16.0 bis einschließlich 16.3.2
- libheif alle Versionen bis einschließlich 1.23.1
Forschende haben einen öffentlichen PoC-Exploit in Python veröffentlicht, der die Heap-Beschädigung unter AddressSanitizer reproduziert. Nach Aussage der Forschenden gelang ihnen auf mehreren Anwendungen remote code execution, allerdings ist dieser Anspruch nicht unabhängig bestätigt worden – der öffentliche PoC zeigt lediglich eine Speicherbeschädigung.
Ein wichtiger mildernder Faktor: Die AVIF-Optimierung in Next.js wird nur aktiviert, wenn image/avif explizit in der formats-Konfiguration in der Datei next.config.js eingetragen ist. Deployments ohne diese Einstellung sind von der AVIF-Schwachstelle nicht betroffen.
Abweichung bei der Attribution
Es ist eine Abweichung bei der Zuschreibung der Entdeckung der AVIF-Schwachstelle zu beobachten. Das Changelog von Vercel schreibt die Offenlegung dem Team Hacktron zu, während die libheif-Empfehlung rootxharsh als Entdecker der Schwachstelle und KarimPwnz als Koordinator nennt. Die Verbindung zwischen diesen Namen und dem Team Hacktron wird in den Primärquellen nicht erläutert.
Kontext: zunehmende Flut von Next.js-Schwachstellen
Das August-Release ist das zweite im Rahmen des formalen monatlichen Sicherheitsprogramms von Vercel, das im Juli 2026 gestartet wurde. Das Unternehmen führt die Einrichtung des Programms direkt auf das wachsende Volumen der Schwachstellenforschung in der Branche zurück, das „durch LLM-gestützte Entdeckung befeuert“ werde. Das erste planmäßige Release im Juli beseitigte neun Schwachstellen, darunter Denial of Service, Server-Side Request Forgery und Middleware-Umgehung.
Bemerkenswert ist, dass Vercel die Veröffentlichung der August-Patches um einen Tag vorgezogen hat – vom 26. auf den 25. August –, nachdem eine weitere kritische Schwachstelle in einer der Upstream-Abhängigkeiten entdeckt worden war.
Die gepatchten Next.js-Releases deaktivieren die AVIF-Optimierung vollständig, bis ein Fix in der Upstream-Version von libheif verfügbar ist. Zum Zeitpunkt der Veröffentlichung des Ausgangsmaterials war die libheif-Version 1.23.2, die in der Empfehlung als behoben markiert ist, noch nicht erschienen.
Empfehlungen zur Behebung
Für selbst gehostete Next.js-Anwendungen:
- Aktualisieren Sie umgehend auf die gepatchten Versionen:
npm install [email protected]– für die 15.x-Reihe und älternpm install [email protected]– für die 16.x-Reihe
- Priorisieren Sie Windows-Server: Für CVE-2026-75604 existiert kein Workaround. Wenn Ihre Anwendung beide Router unter Windows verwendet, ist ein Update die einzige Schutzmaßnahme.
- Prüfen Sie die AVIF-Konfiguration: Wenn in
next.config.jskeinimage/avifin der Einstellungformatsvorhanden ist, ist Ihre Anwendung nicht von der AVIF-Schwachstelle betroffen. Ein Update wird dennoch empfohlen, um beide Probleme zu beheben. - Berücksichtigen Sie die Deaktivierung der AVIF-Optimierung: Nach dem Update werden AVIF-Dateien ohne Optimierung ausgeliefert, bis eine bereinigte libheif-Version verfügbar ist. Dies kann die Performance der Bildauslieferung beeinflussen.
Anwendungen, die auf der Vercel-Plattform gehostet werden, sind auf Infrastrukturebene geschützt: Der verwaltete Image-Optimierungsdienst hat die AVIF-Verarbeitung bereits deaktiviert, und die Next.js-Laufzeitumgebung verwendet Linux, wodurch die Windows-Schwachstelle ausgeschlossen ist. Ein erneutes Deployment oder Update durch den Nutzer ist nicht erforderlich.
Beide Schwachstellen verfügen über einen öffentlichen PoC-Exploit (für AVIF) oder eine detaillierte Beschreibung des Angriffsvektors, was das Zeitfenster für ein sicheres Update äußerst klein macht. Organisationen mit selbst gehosteten Next.js-Instanzen unter Windows sollten das Update als Aufgabe mit höchster Priorität betrachten, und alle anderen sollten es im nächsten Wartungszyklus einplanen, ohne auf eine Bestätigung aktiver Ausnutzung zu warten.
