Next.js: Kritische Sicherheitslücke bei der SVG-Bildverarbeitung
CVE-2026-96889 betrifft eine Bibliothek der Bildverarbeitung. Was Betreiber von Next.js-Anwendungen auf Linux jetzt aktualisieren sollten.
Schnelle Einordnung · Stand
Wichtig: Das Next.js-Advisory bewertet mögliche Codeausführung durch die Bildverarbeitung auf glibc-basiertem Linux als kritisch. Prüfe neben Next.js auch die tatsächlich installierte sharp-Version und gegebenenfalls systemweit verwendetes librsvg.
Sicherheitsupdates im Überblick
| Produkt / Zweig | Zu prüfen | Korrekturstand |
|---|---|---|
| Next.js 10 bis 15 | 10.0.0 bis 15.5.27, bei betroffener Bildverarbeitung | 15.5.28 oder neuerer korrigierter Stand |
| Next.js 16 | größer 16.0.0 bis 16.4.0 laut Next.js-Advisory | 16.4.1 oder neuerer korrigierter Stand |
| sharp mit mitgelieferten Bibliotheken | Versionen vor 0.35.5 | 0.35.5 oder neuer |
| Systemweit verwendetes librsvg | Installierten Hersteller-Patchstand prüfen | librsvg 2.63.2 laut sharp-Advisory |
Die Ausnutzbarkeit hängt vom Bildverarbeitungspfad und der Laufzeitumgebung ab. Die korrigierten Next.js-Versionen sorgen laut Hersteller für eine korrigierte sharp-Abhängigkeit. Ein eigenes Container-Image muss mit den aktualisierten Abhängigkeiten neu gebaut und ausgerollt werden.
Was ist passiert?
Vercel veröffentlichte am 14. Oktober 2026 ein kritisches Next.js-Advisory zur Bildoptimierung bei SVG-Dateien. Die zugrunde liegende Speicherlücke liegt in librsvg, einer über sharp genutzten Bibliothek. Unter bestimmten Laufzeitbedingungen ist auf glibc-basiertem Linux Codeausführung möglich.
Wer ist betroffen?
Zu prüfen sind Anwendungen, in denen SVG-Inhalte den betroffenen serverseitigen Bildverarbeitungspfad erreichen können. Die verwendeten Next.js-, sharp- und Bibliotheksstände sowie das tatsächlich ausgelieferte System bestimmen die Einordnung. Ein Next.js-Projektname allein belegt keine Ausnutzbarkeit.
Was sollten Unternehmen jetzt konkret tun?
Next.js auf einen korrigierten Stand aktualisieren und die aufgelöste sharp-Version im Paket-Lock und im produktiven Build prüfen. sharp nennt mindestens 0.35.5 für seine mitgelieferten Bibliotheken. Bei global eingebundenem librsvg ist dessen eigener Patchstand maßgeblich.
Anschließend die Anwendung beziehungsweise das Container-Image neu bauen und ausrollen. Bildoptimierung und benötigte SVG-Funktionen testen. Eine geänderte Versionsangabe im Repository allein aktualisiert keinen bereits laufenden Prozess.
Welche Übergangsmaßnahme nennt der Hersteller?
sharp beschreibt das Blockieren seines SVG-Decoders als mögliche Übergangsmaßnahme. Das kann bestehende Bildfunktionen beeinflussen und sollte vor Einsatz geprüft werden. Bei eigener Systembibliothek die Herstellerhinweise dazu zusätzlich berücksichtigen.
Wie lässt sich die eigene Betroffenheit einordnen?
Eine belastbare Prüfung benötigt Zugriff auf Abhängigkeiten, Build und Laufzeit. Dieser Artikel meldet keinen Befund über eine konkrete Website. krelIT kann den eingesetzten Stand im vereinbarten Umfang mit den Herstellerangaben abgleichen.
Offizielle Quellen und weiterführende Hinweise
- Next.js: Hersteller-Advisory GHSA-2464-fhr4-w9xw ↗
- sharp: Hersteller-Advisory zur Bibliothekslücke CVE-2026-96889 ↗
Diese Einordnung ist eine allgemeine Information und kein Nachweis, dass ein konkreter Server betroffen oder kompromittiert ist. Angaben entsprechen dem oben genannten Redaktionsstand.
Sicherheitscheck / Care+
Next.js, Bildverarbeitung und Laufzeit gemeinsam prüfen.
Wir betrachten das tatsächlich eingesetzte System und legen gemeinsam fest, welche Aktualisierungen oder Folgemaßnahmen sinnvoll sind.