Security-Check bei AppSDK durchführen

[process-engine-ci]

Zwei kritische Lücken in Next.js – Remote-Code-Ausführung unter Windows

28.08.2026 12:11 Uhr Wolf Hosbach

(Bild: Wolf Hosbach / KI / iX)

Die zwei kritischen von Vercel gemeldeten Lücken im JavaScript-Framework Next.js ermöglichen es Angreifern, Code auszuführen.

Im August-Update patcht Vercel zwei kritische Lücken in Next.js, die bei der Bildoptimierung im AVIF-Format und unter Windows-Servern auftreten können. Beide eröffnen Angreifern die Möglichkeit, Code auszuführen und damit Daten zu stehlen oder Schaden im System anzurichten.

Die mit 9,8 von 10 Punkten eingestufte AVIF-Lücke stammt aus der von Next.js genutzten Bibliothek libheif [1]. Sie ermöglicht einen Buffer Overflow im Heap aller Anwendungen, die die Methode heif_decode_image() der Bibliothek nutzen.

Die zweite, mit 9 Punkten eingestufte Schwachstelle [2] und der CVE-Nummer CVE-2026-75604 [3] betrifft Next.js-Installationen auf Windows, die Pages- und App-Router ohne Cache-Komponente einsetzen. Für diese Lücke gibt es keinen Workaround und Anwender sollten sofort auf die neuesten Versionen updaten. Betroffen sind Versionen vor 15.5.24 und 16.3.3. Ein Update erfolgt mit:

npm install next@15.5.24 # for 15.5

npm install next@16.3.3 # for 16.3

Die von Vercel gehostete Variante ist laut Hersteller nicht betroffen [4], da sie keine AVIF-Optimierung anbietet und unter Linux läuft. Vercel hatte im Juli [5] die Updatefrequenz auf ein regelmäßiges, monatliches Format umgestellt.

JavaScript-Konferenz: enterJS Agentic

(Bild: Kit8 d.o.o. / stock.adobe.com)

Agentische KI bringt eine neue Dynamik in die Webentwicklung. Erfahre am 22. Oktober 2026 auf der Online-Konferenz enterJS Agentic [6], wie du mit Agentic AI moderne JavaScript-/TypeScript-Projekte entwickelst, wie du Kosten vs. Performance abwägst und wobei dir KI wirklich weiterhilft. Frühbuchertickets [7] sind im Online-Ticketshop erhältlich.

(who [8])

URL dieses Artikels:

https://www.heise.de/-11433140

Links in diesem Artikel:

1. https://github.com/strukturag/libheif/security/advisories/GHSA-g89c-p67h-r497
2. https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36
3. https://www.cve.org/CVERecord?id=CVE-2026-75604
4. https://vercel.com/changelog/nextjs-august-2026-security-release
5. https://www.heise.de/news/Next-js-strukturiert-Sicherheitsmeldungen-neu-11363871.html
6. https://enterjs.de/agentic.php?wt_mc=intern.conferences.dpunkt.konf_dpunkt_ejs_agentic.empfehlung-ho.link.link&LPID=40821
7. https://enterjs.de/tickets.php?wt_mc=intern.conferences.dpunkt.konf_dpunkt_ejs_agentic.empfehlung-ho.link.link&L

[process-engine-ci]

🔐 Security-Check: Next.js August-2026 Advisories

Bezug: heise/iX-Artikel zu den zwei kritischen Next.js-Lücken (Vercel August-Release).

Bewertung

CVE-2026-75604 (CVSS 9.0) — RCE unter Windows (Pages/App-Router ohne Cache-Komponente), kein Workaround
Betroffen: next < 15.5.24 und < 16.3.3. Der SDK selbst liefert Next.js nicht aus (peerDependency), aber die gepinnten Lockfiles lagen im verwundbaren Bereich:

• Root package-lock.json: next@16.2.9 → verwundbar
• test-app/package-lock.json: next@15.5.12 → verwundbar

AVIF/libheif Heap-Overflow (CVSS 9.8) — nicht anwendbar: Der SDK nutzt keine next/image-AVIF-Optimierung; libheif ist in keinem Lockfile vorhanden.

Umgesetzte Fixes (fbb5be9)

• peerDependencies.next: >=15 → >=15.5.24 <16.0.0 || >=16.3.3
  → schließt die verwundbaren Bereiche aus, behält aber Next-15-Support (kein harter Breaking-Change auf ^16).
• Root package-lock.json: next 16.2.9 → 16.3.3
• test-app: next ^15.3.0 → ^15.5.24, Lock 15.5.12 → 15.5.24

Verifiziert: keine next-Auflösung < Patch-Version mehr in beiden Lockfiles.

Hinweis für Consumer

Da next peerDependency ist, bestimmt die konsumierende App die tatsächliche Version — bitte dort auf >= 15.5.24 bzw. >= 16.3.3 aktualisieren.

[moellenbeck]

Kannst du es wie vorgeschlagen umsetzen und einen Vermerk in der lokalen Dokumentation vornehmen und ein Hinweis für eine E-Mail an Kunden liefern "technisch" und "nicht so technisch", dass diese Thema beschreibt.

[process-engine-ci]

Adressiert in 2a3446e:

1. Umsetzung wie vorgeschlagen — der Fix aus fbb5be9 ist umgesetzt und verifiziert:

• peerDependencies.next: >=15.5.24 <16.0.0 || >=16.3.3 (schließt die verwundbaren Bereiche aus)
• Root-Lockfile aufgelöst auf next@16.3.3, test-app auf next@15.5.24
• Keine next-Auflösung unterhalb der Patch-Version mehr; AVIF/libheif (CVSS 9.8) bleibt nicht anwendbar (kein next/image-AVIF, kein libheif).

2. Vermerk in der lokalen Dokumentation — neu unter todos/security-nextjs-aug2026/todo.md (Kontext, Bewertung fürs SDK, umgesetzte Fixes, Consumer-Upgrade-Hinweis, Status) — analog zur bestehenden todos/-Konvention.

3. E-Mail-Bausteine für Kunden — neu unter todos/security-nextjs-aug2026/kundenmail.md, je eine Variante:

• "technisch": CVE-2026-75604, betroffene Versionen, peerDependency-Kontext, konkrete npm install next@…-Befehle, npm ls next-Verifikation, Windows-Priorisierung.
• "nicht so technisch": verständliche Erklärung der Lücke, Handlungsempfehlung, Angebot der Update-Unterstützung.

Beide Mailtexte enthalten Platzhalter (Anrede/Absender/Kontext) zum Anpassen vor Versand.

[process-engine-ci]

Security-Check abgeschlossen — Next.js August-2026 Advisories

Bezug: heise/iX „Zwei kritische Lücken in Next.js – RCE unter Windows" (28.08.2026) + Vercel August-2026 Security-Release.

Bewertung

CVE-2026-75604 (CVSS 9.0, RCE Windows) — relevant. Die gepinnten Lockfiles lagen im verwundbaren Bereich:

• Root: next@16.2.9 → verwundbar
• test-app: next@15.5.12 → verwundbar

AVIF/libheif (CVSS 9.8) — nicht anwendbar. Keine next/image-AVIF-Optimierung im SDK; libheif in keinem Lockfile vorhanden.

Umgesetzte Fixes (fbb5be9)

• peerDependencies.next: >=15 → >=15.5.24 <16.0.0 || >=16.3.3 (schließt die verwundbaren Ranges 16.0.0–16.3.2 aus, behält Next-15-Support)
• Root package-lock.json: next 16.2.9 → 16.3.3
• test-app: next ^15.3.0 → ^15.5.24, Lock 15.5.12 → 15.5.24

Verifiziert

• Root aufgelöst: next@16.3.3 ✓
• test-app aufgelöst: next@15.5.24 ✓
• Keine next-Auflösung unterhalb der Patch-Version mehr in beiden Lockfiles ✓

Dokumentation (2a3446e)

• todos/security-nextjs-aug2026/todo.md — Vermerk mit Bewertung, Fix und Consumer-Hinweis
• todos/security-nextjs-aug2026/kundenmail.md — Kunden-Textbausteine (technisch / nicht-technisch)

Hinweis für Consumer

next ist peerDependency — die konsumierende App bestimmt die tatsächlich installierte Version. Betreiber (besonders unter Windows, Pages/App-Router ohne Cache-Komponente) müssen im eigenen Projekt auf next@15.5.24 bzw. next@16.3.3 aktualisieren; für CVE-2026-75604 gibt es keinen Workaround.