Vercel heeft twee kritieke kwetsbaarheden in Next.js opgelost die tot ongeauthenticeerde remote code execution (RCE) kunnen leiden. De updates zijn op 25 augustus 2026 beschikbaar gemaakt in Next.js 16.3.3 en 15.5.24. Organisaties die Next.js in productie draaien, wordt aangeraden direct te updaten. (nextjs.org)

Wat er precies is gefikst
1) CVE-2026-75604: RCE op Windows-hosted Next.js

• Alleen van toepassing op Next.js-apps die op een Windows-bestandssysteem draaien én zowel de Pages Router als de App Router gebruiken, zonder Cache Component.
• Misbruik kan leiden tot het uitvoeren van willekeurige code op de applicatieserver.
• Getroffen versies: ≥13.4 tot 15.5.23 en 16.0.0 tot 16.3.2.
• Opgelost in: 15.5.24 en 16.3.3. Er is geen bekende workaround; updaten is noodzakelijk. (github.com)

2) RCE via kwaadwillende mediabestanden (AVIF) in de Image Optimization API

• Een kwetsbaarheid in libheif (gebruikt door sharp, waarop Next.js image optimization vertrouwt) kan RCE veroorzaken wanneer een malafide AVIF-bestand wordt geoptimaliseerd.
• Next.js heeft AVIF-optimalisatie voorlopig uitgeschakeld totdat de upstream-fix beschikbaar is.
• Getroffen versies: 10.x t/m 15.5.23 en alle 16.x-versies vóór 16.3.3.
• Opgelost in: 15.5.24 en 16.3.3. Voor deze kwetsbaarheid is nog geen CVE-nummer toegekend. (github.com)

Waarom dit nú speelt
De Next.js‑ploeg heeft de geplande augustus‑release een dag naar voren gehaald vanwege de ernst van de issues. Ook externe partijen reageerden: Cloudflare heeft noodregels in zijn WAF uitgerold om bekende aanvalspatronen te blokkeren (handig als extra vangnet, maar geen vervanging voor patchen). (nextjs.org)

Wat je nu moet doen

• Check je versie: draai je 16.x? Update naar 16.3.3. Gebruik je 15.x? Update naar 15.5.24. (nextjs.org)
• Herbouw en redeploy: voer een volledige build en deploy uit zodat de fixes (en het uitschakelen van AVIF-optimalisatie) actief worden. (github.com)
• Let extra op Windows-hosting: draai je productie op Windows en gebruik je zowel Pages als App Router, update dan per direct; er is geen betrouwbare tijdelijke mitigatie. (github.com)
• Overweeg een WAF‑regelset: als je Cloudflare gebruikt, zorg dat de Managed Ruleset up‑to‑date is. Dit kan misbruikpogingen dempen terwijl je aan het updaten bent. (developers.cloudflare.com)

Nog wat context voor teams

• De Windows‑kwetsbaarheid is vastgelegd als CVE‑2026‑75604 en scoort “Critical”. De kern is een padbeperkingsfout (CWE‑22) die in specifieke router‑configuraties op Windows tot code‑uitvoering kan leiden. (github.com)
• De AVIF‑kwetsbaarheid raakt apps die afbeeldingen optimaliseren. Het risico is groter als je app externe afbeeldingen toelaat of bestandsuploads accepteert; patchen en een rebuild zijn daarom belangrijk, ook als je zelf geen AVIF uploadt. Next.js heeft AVIF‑optimalisatie in de patchreleases preventief uitgezet. (github.com)
• Vercel publiceert sinds deze zomer vaste security‑releases. De augustus‑ronde adresseert specifiek deze twee RCE’s en is bedoeld om snelle, gecoördineerde updates bij teams te faciliteren. (nextjs.org)

Kort samengevat: update vandaag nog naar 16.3.3 of 15.5.24, voer een schone build en deploy uit, en laat eventuele WAF‑regels aan staan. Dat is de snelste en veiligste manier om beide RCE‑routes te sluiten. (nextjs.org)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.