Next.js vá hai lỗ hổng RCE nghiêm trọng trong bộ nhớ cache và xử lý SVG
"Next.js released out-of-band security updates (versions 16.4.1 and 15.5.28) to address two critical remote code execution (RCE) vulnerabilities – one in React Server Components (GHSA-673q-mjm6-r5xr) and another in librsvg (CVE-2026-96889, GHSA-2464-fhr4-w9xw) via the sharp package. A high-severity denial-of-service flaw (GHSA-p3m5-59mp-jv5r) was also patched. Updates and, in some cases, updating the `sharp` package to 0.35.5 or later are required."
Hai lỗ hổng RCE cho phép thực thi mã từ xa trên máy chủ, gây ra rủi ro bảo mật nghiêm trọng. Lỗ hổng DoS có thể làm gián đoạn dịch vụ.
Các lỗ hổng này có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín cho doanh nghiệp. Việc cập nhật ngay lập tức là cần thiết để giảm thiểu rủi ro.
Next.js phát hành bản cập nhật ngoài chu kỳ (phiên bản 16.4.1 và 15.5.28) để khắc phục hai lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng – một trong React Server Components (GHSA-673q-mjm6-r5xr) và một trong librsvg (CVE-2026-96889, GHSA-2464-fhr4-w9xw) thông qua gói sharp. Một lỗ hổng từ chối dịch vụ (DoS) mức độ cao (GHSA-p3m5-59mp-jv5r) cũng được vá.
Các lỗ hổng này cho phép kẻ tấn công thực thi mã trên máy chủ. Doanh nghiệp Việt Nam sử dụng Next.js cần cập nhật ngay để tránh bị tấn công.
React Server Components bị ảnh hưởng bởi lỗ hổng khi trả về nhiều typed array. librsvg, thư viện xử lý ảnh SVG mà Next.js sử dụng qua gói sharp, có lỗ hổng khi chạy trên Linux dùng glibc. Denial of service xảy ra trong App Router với Server Actions.
Để khắc phục, nâng cấp lên Next.js 16.4.1 (nếu dùng phiên bản 16) hoặc 15.5.28 (nếu dùng phiên bản 15). Vercel khuyên nên cập nhật ngay cả khi ứng dụng không sử dụng các tính năng bị ảnh hưởng. Kiểm tra phiên bản sharp bằng npm ls sharp và cập nhật lên 0.35.5 trở lên nếu cần. Nếu không thể cập nhật Next.js ngay, có thể chặn SVG rendering trong sharp bằng sharp.block({ operation: ["VipsForeignLoadSvg"] }).
Đây là lần thứ ba kể từ tháng 8, lỗ hổng thực thi mã xuất hiện trong quá trình xử lý ảnh của Next.js. Lỗ hổng trước đó liên quan đến libheif (tháng 8) và next/og (tháng 9). Lỗ hổng librsvg (CVE-2026-96889) được công bố ngày 23/9 và vá trong sharp ngày 27/9. Red Hat đánh giá mức độ nghiêm trọng là 7.8, yêu cầu tương tác của người dùng.
Câu hỏi thường gặp
Lỗ hổng RCE trong React Server Components ảnh hưởng đến phiên bản Next.js nào?
Lỗ hổng này ảnh hưởng đến các phiên bản từ 16.0.0 đến 16.4.0. Bản cập nhật lên 16.4.1 sẽ khắc phục.
Lỗ hổng trong librsvg (CVE-2026-96889) hoạt động như thế nào?
Lỗ hổng này xảy ra khi Next.js chạy trên Linux dùng glibc và xử lý các tệp SVG độc hại thông qua gói sharp. Việc cập nhật sharp lên 0.35.5 trở lên sẽ khắc phục.
Lỗ hổng DoS ảnh hưởng đến ứng dụng Next.js như thế nào?
Lỗ hổng này ảnh hưởng đến các ứng dụng App Router có ít nhất một Server Action. Các yêu cầu được tạo đặc biệt có thể làm quá tải CPU của máy chủ.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Next.js liên tục gặp các lỗ hổng liên quan đến xử lý ảnh cho thấy cần xem xét lại quy trình kiểm tra và cập nhật các thư viện phụ thuộc. Doanh nghiệp Việt Nam nên tự động hóa việc kiểm tra lỗ hổng và cập nhật phiên bản thư viện để giảm thiểu rủi ro. Điều đáng chú ý là lỗ hổng này có thể ảnh hưởng đến các ứng dụng sử dụng tính năng tạo ảnh social preview (next/og).