Next.js Güvenlik Güncellemesi: 14 Ekim 2026 İki Kritik Açık

Next.js ekibi, 8 Ekim’de duyurduğu olağanüstü (out-of-band) güvenlik güncellemesini 14 Ekim 2026’da yayınladı. Güncelleme, upstream bağımlılıklardan (upstream dependencies) kaynaklanan üç açığı kapatıyor: ikisi Critical, biri High seviyesinde.

Bu açıklardan ikisinin düzeltmesi Eylül güvenlik sürümünden, upstream tarafındaki gecikmeler yüzünden ertelenmişti. Yani bekleyen bir borç vardı ve şimdi ödeniyor. Bu yazıda açıkların ne olduğunu, kimleri etkilediğini ve neyi güncellemeniz gerektiğini anlatacağım.

Hangi Sürümlerde Düzeltildi?

Yamalar iki sürüm hattında yayınlandı:

• v16.4.1 (Active LTS)
• v15.5.28 (Maintenance LTS)

Güncelleme komutları:

# 15.5 hattı için
npm install [email protected]

# 16.4 hattı için
npm install [email protected]

Ne yapıyor? Next.js bağımlılığınızı yamalı sürüme sabitler. Bu kadar.

Hangi Açıklar Kapatıldı?

1. use cache Fonksiyonlarında Kimlik Doğrulamasız RCE (Critical)

Tanımlayıcı: GHSA-673q-mjm6-r5xr (Next.js). İlgili upstream advisory: GHSA-xqc2-xf4c-x3h3 (React).

Cache Components ile App Router kullanan bir uygulamada, bir use cache fonksiyonu birden fazla typed array döndürdüğünde kimlik doğrulamasız uzaktan kod çalıştırma (Remote Code Execution – RCE) mümkün olabiliyor.

Bu açık için bilinen bir workaround yok. Üstelik kaynakta açık bir uyarı var: uygulamanızda benzer fonksiyonlar olmasa bile hemen yükseltmelisiniz.

2. Image Optimization API’de SVG ile RCE (Critical)

Tanımlayıcı: CVE-2026-96889 / GHSA-2464-fhr4-w9xw.

Image Optimization için kullanılan upstream bir kütüphanedeki bellek (memory) kaynaklı bir açık, Next.js glibc tabanlı Linux üzerinde çalışırken uzaktan kod çalıştırmaya yol açabiliyor.

Geçici önlem olarak Next.js’in kullandığı sharp sürümünün 0.35.5 veya üzeri olmasını sağlayabilirsiniz. Ancak Next.js’i yamalı sürüme yükselttiğinizde package manager’lar düzeltilmiş sharp sürümünü zaten kendiliğinden sağlıyor.

3. Server Actions ile App Router’da Denial of Service (High)

Tanımlayıcı: GHSA-p3m5-59mp-jv5r (Next.js). İlgili upstream advisory: GHSA-h3gv-c5rc-p453 (React).

App Router kullanan ve en az bir Server Action içeren uygulamalara gönderilen özel hazırlanmış istekler aşırı CPU kullanımına yol açabiliyor. Bu CPU kullanımı aynı process’teki diğer istekleri de bloke ediyor ve sonuç Denial of Service (DoS) oluyor.

Pages Router kullanan ya da hiç Server Action kullanmayan uygulamalar bu açıktan etkilenmiyor.

Risk Özeti

• use cache + typed array: Critical, RCE, workaround yok
• Image Optimization + SVG: Critical, RCE, glibc tabanlı Linux
• Server Actions: High, DoS, yalnızca App Router

Kimleri Etkiler / Ne Yapmalı?

⚠️ Önemli Uyarı: İlk açık için workaround olmadığından, App Router ve Cache Components kullanıyorsanız bu güncellemeyi ertelemeyin.

Etki durumunu kısaca şöyle özetleyebiliriz:

• App Router + Cache Components kullanıyorsanız, ilk açık sizi ilgilendirir
• Next.js image optimization’ı glibc tabanlı Linux üzerinde çalıştırıyorsanız, ikinci açık sizi ilgilendirir
• App Router’da en az bir Server Action’ınız varsa, üçüncü açık sizi ilgilendirir

Adım adım ilerleyelim:

Adım 1 — Sürüm hattınızı belirleyin. Projeniz 15.5 hattındaysa v15.5.28’e, 16.4 hattındaysa v16.4.1’e geçin.

Adım 2 — Güncellemeyi uygulayın. Yukarıdaki npm install komutlarından uygun olanı çalıştırın.

Adım 3 — Yeniden deploy edin. Güncelleme yalnızca lokalde kalırsa production korunmuş olmaz.

ℹ️ Not: Kaynaklarda bu iki hattın dışındaki sürümler için bir yama bilgisi yer almıyor. Farklı bir sürüm hattındaysanız ilgili GHSA advisory’lerini kontrol edin.