Next.js phát hành bản vá khẩn cấp cho hai lỗ hổng RCE nghiêm trọng

Vào ngày 14/10/2026, Vercel đã phát hành bản cập nhật bảo mật ngoài lịch trình (out-of-band) cho framework Next.js. Bản vá này giải quyết ba vấn đề bảo mật quan trọng, trong đó có hai lỗ hổng cho phép thực thi mã từ xa (Remote Code Execution – RCE) không cần xác thực và một lỗi từ chối dịch vụ (Denial of Service – DoS).

Các lỗ hổng được khắc phục

Theo thông tin từ nhà phát triển, hai lỗ hổng RCE đều được đánh giá ở mức nghiêm trọng với điểm CVSS là 9.5:

• RCE qua tính năng ‘use cache’: Ảnh hưởng đến các ứng dụng sử dụng App Router có bật tính năng Cache Components. Lỗ hổng xảy ra khi hàm use cache trả về nhiều hơn một typed array.
• RCE qua xử lý ảnh SVG: Lỗ hổng nằm trong thư viện librsvg (được Next.js sử dụng thông qua gói sharp). Kẻ tấn công có thể khai thác thông qua các tệp SVG độc hại trên các hệ thống Linux sử dụng glibc.
• Từ chối dịch vụ (DoS) qua Server Actions: Ảnh hưởng đến các ứng dụng App Router có sử dụng Server Actions, cho phép kẻ tấn công gửi các yêu cầu được thiết kế đặc biệt để chiếm dụng tài nguyên CPU, làm gián đoạn khả năng xử lý của server.

Khuyến nghị hành động

Người dùng cần nâng cấp ngay lập tức lên phiên bản Next.js 16.4.1 (nếu đang dùng bản 16) hoặc 15.5.28 (nếu đang dùng bản 15) và thực hiện build/deploy lại ứng dụng.

Đáng chú ý, đối với phiên bản 15.5.28, việc cập nhật Next.js có thể không tự động nâng cấp gói sharp lên phiên bản an toàn (0.35.5 trở lên). Người dùng được khuyến cáo kiểm tra thủ công bằng lệnh npm ls sharp và cập nhật gói này nếu cần thiết. Đối với lỗ hổng liên quan đến SVG, nếu chưa thể nâng cấp ngay, quản trị viên có thể cân nhắc chặn việc render SVG trong sharp như một biện pháp tạm thời.

Hiện tại, chưa có báo cáo về việc các lỗ hổng này bị khai thác trong thực tế. Tuy nhiên, do tính chất nghiêm trọng, việc cập nhật sớm là ưu tiên hàng đầu để đảm bảo an toàn cho hạ tầng server và ứng dụng.

Nguồn tham khảo: The Hacker News