- 《The Hacker News》表示，Next.js修補兩項嚴重遠程程式碼執行漏洞，以及一項高嚴重程度阻斷服務漏洞。
- 《The Hacker News》表示，修補程式見於Next.js 16.4.1及15.5.28。
- 《The Hacker News》表示，截至10月15日，沒有公開報告顯示該三項漏洞曾用於攻擊。
Next.js於10月14日發布帶外安全更新，修補兩項可讓未經認證人士遠程執行程式碼的嚴重漏洞，以及一項高嚴重程度阻斷服務漏洞，The Hacker News表示。
開發Next.js的Vercel將兩項程式碼執行漏洞評為嚴重，每項的CVSS評分均為9.5。截至10月15日，沒有公開報告顯示該三項漏洞曾用於攻擊，《The Hacker News》表示。
React表示，針對支援React Server Components的框架製作的特製負載可導致遠程執行程式碼。React表示，React程式碼不使用伺服器，或不使用支援React Server Components的框架、捆綁器或捆綁器插件的應用程式，不受該漏洞影響。
React Server Components漏洞影響特定版本範圍
React表示，針對支援React Server Components的框架製作的特製負載可導致遠程執行程式碼。問題影響極罕見情況，涉及傳輸多個類型陣列及由攻擊者控制的值的回應。
| 受影響版本 | 修補版本 |
|---|---|
| 19.0.0至19.0.8 | 19.0.09 |
| 19.1.0至19.1.9 | 19.1.10 |
| 19.2.0至19.2.8 | 19.2.9 |
| 19.3.0 | 19.3.1 |
Netlify闡述對其平台的影響
Netlify表示，同一漏洞可透過next/og ImageResponse觸及，經ImageResponse處理不受信任輸入的應用程式受影響。在Netlify上，消耗單一函數過多CPU的惡意請求不會影響其他請求，但積極利用漏洞可能增加函數成本。
Netlify表示，在其環境中，影響局限於函數調用崩潰，而非執行程式碼。公司亦警告，公開可用的部署預覽及分支部署可能持續存在漏洞，直至系統自動刪除。
React建議立即更新。React將修補程式回移至19.0.09、19.1.10、19.2.9及19.3.1版本。
Netlify建議將Next.js升級至15.5.28或16.4.1，並盡快重新部署。Netlify警告，公開可用的部署預覽及分支部署可能持續存在漏洞，直至系統自動刪除。
防守方現在要做甚麼
- 立即更新。
- 將Next.js升級至15.5.28或16.4.1，並盡快重新部署。
常見問題
Next.js安全更新發生甚麼事？
《The Hacker News》表示，Next.js於10月14日發布帶外更新，修補兩項可讓未經認證人士遠程執行程式碼的嚴重漏洞，以及一項高嚴重程度阻斷服務漏洞。
Next.js漏洞曾被利用嗎？
《The Hacker News》表示，截至10月15日，沒有公開報告顯示10月14日修補的該三項漏洞曾用於攻擊。
誰受React Server Components漏洞影響？
該漏洞存在於列出的React版本，針對支援React Server Components的框架製作的特製負載可導致遠程執行程式碼。React表示，React程式碼不使用伺服器，或不使用支援React Server Components的框架、捆綁器或捆綁器插件的應用程式不受影響。
Next.js用戶應如何修補漏洞？
Netlify建議將Next.js升級至15.5.28或16.4.1，並盡快重新部署。React建議立即更新。
來源
- Unauthenticated Remote Code Execution in React Server Components, GitHub原始文件
- GHSA-wq5f-xc86-pv6w - GitHub Advisory Database, GitHub原始文件
- Next.js & React security release (Oct 2026): what to know, Netlify原始文件
- Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing, The Hacker News
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| 《The Hacker News》表示，next.js於10月14日發布帶外安全更新，修補兩項可讓未經認證人士遠程執行程式碼的嚴重漏洞，以及一項高嚴重程度阻斷服務漏洞。 | The Hacker News | 引述 |
| 《The Hacker News》表示，修補程式見於Next.js 16.4.1及15.5.28，即現行Active及Maintenance長期支援版本。 | The Hacker News | 引述 |
| Vercel將兩項程式碼執行漏洞評為嚴重。 | Vercel, via The Hacker News | 引述 |
| Vercel將兩項程式碼執行漏洞的CVSS評分定為9.5。 | Vercel, via The Hacker News | 引述 |
| 針對支援React Server Components的框架製作的特製負載可導致遠程執行程式碼。 | React, via GitHub | 已證實 |
| React Server Components漏洞影響涉及多個類型陣列及由攻擊者控制的值的極罕見情況。 | React, via GitHub | 已證實 |
| React Server Components漏洞影響19.0.0至19.0.8、19.1.0至19.1.9、19.2.0至19.2.8及19.3.0版本。 | React, via GitHub | 已證實 |
| React將修補程式回移至19.0.09、19.1.10、19.2.9及19.3.1版本。 | React, via GitHub | 已證實 |
| React表示，沒有伺服器端React程式碼的應用程式不受影響。 | React, via GitHub | 已證實 |
| React表示，沒有支援React Server Components的框架、捆綁器或捆綁器插件的應用程式不受影響。 | React, via GitHub | 已證實 |
| librsvg漏洞在特定運行時環境條件下，可導致基於glibc的Linux出現可能的遠程程式碼執行。 | sharp, via GitHub | 已證實 |
| sharp公告建議升級至0.35.5版本，該版本提供librsvg 2.63.2。 | sharp, via GitHub | 已證實 |
| Netlify表示，當應用程式轉換不受信任輸入時，可透過next/og ImageResponse觸及圖像處理漏洞。 | Netlify | 已證實 |
| Netlify表示，圖像處理漏洞對其自動擴展無伺服器架構的影響有限，但利用漏洞可能增加函數成本。 | Netlify | 已證實 |
| Netlify表示，消耗單一函數過多CPU的惡意請求不會影響其他請求，但利用漏洞可能增加函數成本。 | Netlify | 已證實 |
| 《The Hacker News》表示，截至10月15日，沒有公開報告顯示10月14日修補的該三項漏洞曾用於攻擊。 | The Hacker News | 引述 |
| Netlify警告，公開可用的部署預覽及分支部署可能持續存在漏洞，直至自動刪除。 | Netlify | 已證實 |
| Red Hat將librsvg漏洞評分為7.8，並表示利用漏洞需要用戶互動，例如開啟惡意檔案。 | Red Hat, via The Hacker News | 引述 |
未能核實
- 該三項漏洞是否已在實際環境中被利用，尚未確定。
- 受影響的應用程式或用戶數量，尚未確定。
- React Server Components漏洞是否獲分配CVE編號，尚未確定。
- 該三項漏洞是否與共同攻擊者或行動有關，尚未確定。
