Vercel автоматически защищает приложения от уязвимостей Next.js August 2026
В августе 2026 в Next.js обнаружены две критические уязвимости, включая RCE через libheif. Vercel уже внедрил патчи, пользователям ничего делать не нужно.
Что произошло?
В августе 2026 года команда Next.js объявила о двух критических уязвимостях в своей платформе:
- GHSA‑2xp9‑vwfh‑vxw4 – уязвимость в зависимости
libheif. При обработке специально сформированного AVIF‑файла в режиме Image Optimization может произойти неавторизованное удалённое выполнение кода (RCE). - CVE‑2026‑75604 (GHSA‑p293‑qw3h‑jr36) – другая уязвимость, позволяющая атакующему выполнить произвольный код через механизм сервер‑сайд рендеринга.
Эти проблемы относятся к категории critical и требуют немедленного патчинга.
Как Vercel отреагировал?
Платформа Vercel, являющаяся официальным хостингом для Next.js‑приложений, внедрила автоматические обновления сразу после публикации исправлений в Next.js. Все проекты, развернутые на Vercel, автоматически получают безопасные версии без необходимости вмешательства со стороны разработчика.
«Vercel applications are protected from Next.js August 2026 security vulnerabilities» – официальное заявление в блоге Vercel.
Что нужно сделать пользователям?
- Никаких действий со стороны владельцев проектов на Vercel не требуется – защита уже включена.
- Если вы самостоятельно хостите Next.js (например, на собственных серверах или в другом облаке), необходимо обновить зависимости до версии, включающей патчи, и проверить, что
next.config.jsне использует устаревшие плагины обработки изображений.
Ссылки
Для разработчиков, использующих Vercel, это значит, что их проекты находятся под надёжной защитой без дополнительных усилий. Тем, кто развёртывает Next.js самостоятельно, стоит оперативно обновить стек, иначе они останутся уязвимыми к RCE‑атакам через обработку изображений.
