Sikkerhedsrettelser i Next.js og React 14. oktober 2026: hvad skal opdateres

Den 14. oktober 2026 udsendte Next.js- og React-holdene rettelser til tre sikkerhedshuller, de to vurderet som kritiske. De gælder apps bygget med Next.js og andre apps, der bruger React Server Components. Her er de rettede versioner, hvordan du tjekker en app uden at åbne koden, og hvorfor billedbiblioteket skal have sit eget tjek.

Hvad blev rettet?#

Billedoptimering, kritisk (GHSA-2464-fhr4-w9xw, CVE-2026-96889). En hukommelsesfejl i det billedbibliotek, Next.js bruger til next/image, kan lade en angriber køre kode på serveren ved at sende en SVG. Det gælder Next.js 10.0 til og med 15.5.27 og 16.0 til og med 16.4.0 på glibc-baseret Linux, hvilket dækker de fleste servere og de fleste Docker-images bygget på Debian eller Ubuntu. Selve fejlen sidder i sharp og er rettet i sharp 0.35.5.
React Server Components, kritisk (GHSA-xqc2-xf4c-x3h3). En særligt udformet forespørgsel kan føre til kørsel af kode i sjældne tilfælde, hvor et svar indeholder flere typed arrays og en værdi, angriberen styrer. I Next.js viser det sig i use cache-funktioner, der returnerer typed arrays.
Server Functions, høj (GHSA-h3gv-c5rc-p453). Udformede forespørgsler til server actions kan opbruge hukommelse eller CPU og lægge appen ned.

Ingen af dem kræver login. Da det her blev skrevet, var der ikke meldt om angreb, men huller med en rettelse at sammenligne med plejer ikke at forblive stille længe.

Hvilke versioner har rettelsen?#

Next.js 16: 16.4.1 retter alle tre.
Next.js 15: 15.5.28 retter billedhullet og nedlukningsfejlen. Typed array-hullet sidder i use cache, som 15 ikke har som stabil funktion.
Next.js 14 og ældre: der kommer ingen rettelse. Billedhullet går tilbage til 10.0, så en gammel app på Linux bør i det mindste få sharp 0.35.5 (se nedenfor), mens en egentlig opgradering bliver planlagt.
Andre frameworks med Server Components (react-server-dom-webpack, -parcel eller -turbopack direkte): React 19.0.9, 19.1.10, 19.2.9 eller 19.3.1.

Hvordan tjekker jeg min app?#

Åbn lockfilen i repositoriet (package-lock.json, pnpm-lock.yaml, yarn.lock eller bun.lock), og søg efter de her navne. Lockfilen viser, hvad der faktisk er installeret; package.json viser kun, hvad der var tilladt.

next: 16.4.1 eller 15.5.28 og op.
sharp: 0.35.5 eller nyere, alle steder den optræder. En lockfil kan indeholde mere end én kopi.
react-server-dom-*: kun relevant uden for Next.js, som har sin egen kopi med.

Er det en anden, der vedligeholder appen, er de tre linjer hele spørgsmålet, du skal sende: hvilken next er installeret, hvilken sharp, og hvornår blev den sidst udrullet.

Hvorfor sharp skal have sit eget tjek#

Next.js har ikke sharp med i pakken; pakkehåndteringen installerer den ved siden af. En frisk installation af den rettede Next.js henter en rettet sharp, men en app, der selv har låst sharp eller bruger den direkte til noget andet, beholder sin gamle kopi, indtil den linje i package.json også bliver hævet. Søg efter sharp i lockfilen, ikke kun efter next.

Apps på Alpine-baserede Docker-images (musl i stedet for glibc) ligger uden for billedhullet, som Next.js beskriver det. Opdatér alligevel: samme sharp-udgivelse lukker flere andre fejl i libvips.

Opdatering og ny udrulning#

Hæv next til 16.4.1 (eller 15.5.28), og sharp til ^0.35.5, hvis den står i package.json.
Installér, så lockfilen følger med, og tjek at lockfilen har de nye versioner.
Byg og kør testene. En patch-udgivelse ødelægger sjældent noget, men en app, der ikke er opdateret i et år, får mere med end bare den her rettelse.
Udrul. En rettelse i package.json gør ingenting, før den kørende app er skiftet ud.

Det sidste trin er der, hvor hostede apps går i stå. Vercel, Netlify og de andre bygger ikke din app om af sig selv; intet ændrer sig, før nogen udruller et nyt build. Selvhostede apps i Docker skal have imaget bygget om, ikke bare genstartet.

Hvis appen har været udsat#

En urettet app på Linux, der leverer next/image til internettet, kan være blevet angrebet, uden at noget så forkert ud. Kig efter genstarter og hukommelsesspidser i logs omkring og efter 14. oktober, og skift de hemmeligheder, serveren har (database, betaling og mailnøgler), hvis noget ser mærkeligt ud. Nedlukningsfejlen efterlader ikke andet end nedetid.

Kilder#

Jeg opdaterer noten, hvis de rettede versioner eller meldingerne om angreb ændrer sig.