Next.js : deux exécutions de code à distance

Ce qui se passe

La mise à jour de sécurité Next.js d'août 2026 corrige deux exécutions de code à distance, toutes deux exploitables sans authentification.

La première, GHSA-2xp9-vwfh-vxw4, ne vient pas de Next.js mais de libheif, la bibliothèque de décodage utilisée en amont. Elle se déclenche quand l'optimisation d'images traite une entrée AVIF fabriquée pour l'occasion : l'image traverse le pipeline de redimensionnement et le code de l'attaquant s'exécute côté serveur. Aucun compte, aucune interaction de victime, une requête suffit.

La seconde, CVE-2026-75604 (GHSA-p293-qw3h-jr36), ne concerne que les serveurs Next.js hébergés sur un système de fichiers Windows, dans les applications utilisant le routeur Pages, ou le routeur App sans Cache Components. Même conséquence : exécution de code à distance non authentifiée.

Pourquoi ça compte

Parce que la réponse dépend entièrement de votre hébergement, et que la communication de Vercel — « vos applications sont protégées » — s'adresse à ses clients, pas à vous si vous hébergez vous-même.

Sur la plateforme Vercel, l'optimisation AVIF a été désactivée côté service géré dès l'identification de la faille : les entrées AVIF sont servies telles quelles et ne passent plus par le chemin vulnérable. Et le runtime Next.js de Vercel tourne sous Linux, donc la seconde faille ne s'y applique pas.

Sur une installation auto-hébergée, aucune de ces deux protections n'existe. Le point d'optimisation d'images est très souvent exposé publiquement, c'est même sa raison d'être.

Comment s'y prendre

Mettez à jour selon votre branche :

# branche 15.x ou antérieure
npm install next@15.5.24

# branche 16.x
npm install next@16.3.3

Deux points à connaître avant de poser le correctif :

1. L'AVIF n'est plus optimisé du tout dans les versions corrigées. Les images AVIF sont servies telles quelles, sans redimensionnement, en attendant une version saine de libheif en amont. Si votre mise en page compte sur des variantes redimensionnées, mesurez le poids transféré après la mise à jour.
2. Il n'existe aucun contournement pour la faille Windows. Seule la mise à jour la corrige.

Si vous ne pouvez pas déployer immédiatement, restreindre l'accès au point d'optimisation d'images limite la surface de la première faille — pas de la seconde.

À retenir

Une dépendance transitive de décodage d'images vaut une exécution de code à distance : le format entrant est du contenu attaquant, et il traverse du C. C'est la même famille de défaut que les failles ImageMagick d'il y a dix ans, et elle n'a pas vieilli.

Source : Vercel