{"id":50248,"date":"2026-08-28T08:47:49","date_gmt":"2026-08-28T06:47:49","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50248"},"modified":"2026-08-28T08:47:49","modified_gmt":"2026-08-28T06:47:49","slug":"nextjs-sicherheitsupdate-avif-windows-rce-50248","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/nextjs-sicherheitsupdate-avif-windows-rce-50248\/","title":{"rendered":"Next.js behebt kritische AVIF- und Windows-L\u00fccken f\u00fcr RCE"},"content":{"rendered":"

Vercel<\/a> hat dringende Sicherheitsupdates f\u00fcr das Next.js<\/a>a-Framework ver\u00f6ffentlicht, die zwei kritische Schwachstellen schlie\u00dfen, beide erm\u00f6glichen eine nicht authentifizierte Remotecodeausf\u00fchrung (RCE). Die eine L\u00fccke wird durch pr\u00e4parierte AVIF-Bilddateien ausgenutzt, die andere durch einen Path-Traversal-Fehler, der nur Server mit einem Windows-Dateisystem betrifft. Angesichts der steigenden Flut an Sicherheitsforschung, die durch KI-gest\u00fctzte Entdeckungen befeuert wird, raten die Entwickler zu einer sofortigen Aktualisierung aller betroffenen Installationen.<\/p>\n

Der Windows-Path-Traversal, der als CVE-2026-75604<\/strong> (CVSS-Score: 9,0) gef\u00fchrt wird, betrifft Next.js-Anwendungen, die sowohl den Pages Router als auch den App Router ohne Cache Components einsetzen und auf einem Windows-Dateisystem betrieben werden. Linux- und macOS-Umgebungen sind von dieser spezifischen Sicherheitsl\u00fccke nicht betroffen. Es existiert kein Workaround f\u00fcr betroffene Windows-Anwendungen. Vercel r\u00e4t in der zugeh\u00f6rigen Sicherheitsmeldung eindringlich zum sofortigen Update, sofern der Server unter Windows l\u00e4uft.<\/p>\n

Die patched Versionen und betroffene Umgebungen<\/h2>\n

Die Korrekturen sind in Next.js 15.5.24 (Maintenance LTS) und 16.3.3 (Active LTS) enthalten, die am 25. August<\/a> 2026 ver\u00f6ffentlicht wurden. Betroffene Anwender aktualisieren mit npm install next@15.5.24<\/strong> f\u00fcr die 15.5er-Reihe oder npm install next@16.3.3<\/strong> f\u00fcr die 16.3er-Reihe. Bei Anwendungen, die direkt auf der Vercel-Plattform gehostet werden, besteht kein Handlungsbedarf, da diese durch die Infrastruktur von Vercel gesch\u00fctzt sind. Die Schwachstelle ist in Next.js Versionen 13.4 bis 15.5.23 sowie in den Versionen 16.0 bis 16.3.2 vorhanden. Der genaue Angriffsmechanismus wurde in der Advisory nicht offengelegt.<\/p>\n

Die AVIF-Bildoptimierungsl\u00fccke im Detail<\/h3>\n

Die zweite kritische Schwachstelle betrifft die Bildoptimierung von Next.js. Das Framework nutzt die Bildverarbeitungsbibliothek Sharp, die wiederum auf die C-Bibliothek libheif zur Verarbeitung von AVIF-Dateien angewiesen ist. In libheif wurde ein kritischer Heap-Buffer-Overflow entdeckt (GHSA-2xp9-vwfh-vxw4, CVSS v4: 9,5), der zu einer Remotecodeausf\u00fchrung f\u00fchren kann, sobald Next.js ein manipuliertes AVIF-Bild verarbeitet.<\/p>\n

Der zugrundeliegende Fehler in libheif, der von den Maintainern als GHSA-g89c-p67h-r497 gemeldet wurde, ist ein Heap-Buffer-Overflow im Skalierungscode der Bibliothek. Alle libheif-Versionen bis einschlie\u00dflich v1.23.1 sind anf\u00e4llig. Die AVIF-L\u00fccke betrifft Next.js von Version 10.0.0 bis 15.5.23 und alle 16.x-Versionen bis 16.3.2. Die Funktionsweise ist komplex: Eine pr\u00e4parierte AVIF-Datei mit verschachtelten Identity-Derivation- und Auxiliary-Item-Referenzen zwingt libheif dazu, ein dekodiertes Bild mit zwei Alpha-Ebenen unterschiedlicher Bittiefe zu erstellen. Der Skalierer allokiert daraufhin einen Puffer, der f\u00fcr die erste 8-Bit-Alpha-Ebene dimensioniert ist, schreibt dann aber die 16-Bit-Sample-Werte der zweiten Ebene in diesen Puffer \u2013 was zu einer \u00dcberschreitung der Puffergrenze um rund 16.384 Byte f\u00fchrt.<\/p>\n

Das Forscherteam ver\u00f6ffentlichte einen vollst\u00e4ndigen Python-Proof-of-Concept, der die Heap-Korruption unter einem Address-Sanitizer-Build reproduziert. In der libheif-Advisory best\u00e4tigten die Forscher, dass sie mithilfe dieser Schwachstelle auf mehreren Anwendungen eine Remotecodeausf\u00fchrung erreichen konnten. Next.js aktiviert die AVIF-Optimierung ausschlie\u00dflich dann, wenn eine Website in der Konfigurationsdatei next.config.js explizit das Format image\/avif hinzugef\u00fcgt hat. Deployments ohne diese Konfiguration sind nicht gef\u00e4hrdet. Die gepatchten Next.js-Versionen deaktivieren die AVIF-Optimierung vollst\u00e4ndig, bis der Upstream-Fix aus libheif propagiert wird. Zum Zeitpunkt der Ver\u00f6ffentlichung war die Version v1.23.2 von libheif allerdings noch nicht publiziert.<\/p>\n

Der versch\u00e4rfte Sicherheitsprozess von Vercel<\/h2>\n

Vercel hatte die August-Patches eigentlich f\u00fcr den 26. August im Rahmen des monatlichen Sicherheitsrhythmus vorgesehen. Das Unternehmen zog die Ver\u00f6ffentlichung jedoch um einen Tag vor, nachdem eine zus\u00e4tzliche Schwachstelle mit kritischem Schweregrad in einer der Upstream-Abh\u00e4ngigkeiten entdeckt worden war. Der August-Release ist der zweite im Rahmen des formalen monatlichen Sicherheitsprogramms, das Vercel im Juli 2026<\/a> ank\u00fcndigte. Die erste geplante Ver\u00f6ffentlichung am 21. Juli adressierte neun Schwachstellen in Next.js 16.2.11 und 15.5.21, darunter Denial-of-Service, Server-Side-Request-Forgery und Middleware-Bypass-L\u00fccken.<\/p>\n

Next.js hat in den letzten Jahren eine Reihe kritischer Sicherheitsmeldungen erlebt. Dazu z\u00e4hlen eine kritische Middleware-Bypass-L\u00fccke im M\u00e4rz 2025, die es nicht authentifizierten Angreifern erlaubte, Autorisierungspr\u00fcfungen in selbst gehosteten Umgebungen zu umgehen, sowie die React2Shell-Deserialisierungsl\u00fccke in React Server Components im Dezember 2025. Letztere trug einen CVSS-Score von 10,0 und wurde innerhalb von Stunden nach der \u00f6ffentlichen Offenlegung aktiv ausgenutzt. F\u00fcr die beiden August-Schwachstellen lag bis zum 27. August 2026<\/a> kein Bericht \u00fcber eine aktive Ausnutzung vor.<\/p>\n

Die Forscher evolutionstorm und B0RI werden f\u00fcr die verantwortungsvolle Offenlegung der Windows-Sicherheitsl\u00fccke genannt. Die Entdeckung der AVIF-L\u00fccke wird dem Hacktron-Team zugeschrieben. Der Vorfall unterstreicht die zunehmende Dynamik in der Sicherheitsforschung, die durch LLM-gest\u00fctzte Entdeckungen massiv beschleunigt wird. F\u00fcr Unternehmen und Entwickler, die Next.js einsetzen, bleibt daher nur der kontinuierliche Update-Rhythmus als verl\u00e4sslicher Schutz vor diesen hochkritischen Angriffsvektoren.<\/p>\n","protected":false},"excerpt":{"rendered":"

Vercel hat dringende Sicherheitsupdates f\u00fcr das Next.jsa-Framework ver\u00f6ffentlicht, die zwei kritische Schwachstellen schlie\u00dfen, beide erm\u00f6glichen eine nicht authentifizierte Remotecodeausf\u00fchrung (RCE). Die eine L\u00fccke wird durch pr\u00e4parierte AVIF-Bilddateien ausgenutzt, die andere durch einen Path-Traversal-Fehler, der nur Server mit einem Windows-Dateisystem betrifft. Angesichts der steigenden Flut an Sicherheitsforschung, die durch KI-gest\u00fctzte Entdeckungen befeuert wird, raten die Entwickler […]<\/p>\n","protected":false},"author":5,"featured_media":55149,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50248.png","fifu_image_alt":"Next.js behebt kritische AVIF- und Windows-L\u00fccken f\u00fcr RCE","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50248","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50248.png","fifu_image_alt":"Next.js behebt kritische AVIF- und Windows-L\u00fccken f\u00fcr RCE","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50248","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50248"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50248\/revisions"}],"predecessor-version":[{"id":50250,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50248\/revisions\/50250"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55149"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50248"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50248"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50248"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}