Wer auf seinem Homelab-Server oder VPS ein selbst gehostetes Dashboard, ein kleines SaaS-Projekt oder ein Admin-Tool mit Next.js betreibt, sollte JETZT genau hinschauen. Vercel hat am 14. Oktober außerplanmäßig gleich drei Sicherheitslücken gepatcht, zwei davon mit der höchsten praktisch vergebenen Note: CVSS 9,5.
Was genau kaputt war
Die erste Lücke, CVE-2026-96889 (GHSA-2464-fhr4-w9xw), steckt in der Bildverarbeitung. Next.js reicht hochgeladene SVG-Dateien an die Bibliothek sharp weiter, die intern wiederum librsvg nutzt — und genau dort sitzt ein Speicherfehler. Betroffen sind Apps, die dangerouslyAllowSVG aktiviert haben oder next/og mit der Node.js-Runtime nutzen, und zwar nur auf glibc-basiertem Linux (also so gut wie jeder Debian- oder Ubuntu-Server).
Die zweite Lücke (GHSA-673q-mjm6-r5xr) sitzt im „use cache“-Mechanismus der React Server Components und betrifft ausschließlich Next.js 16. Wenn eine Response mehrere TypedArrays enthält und ein Angreifer die Werte kontrollieren kann, wird daraus eine Remote Code Execution — und dafür gibt es bislang keinen Workaround, nur das Update hilft. Eine dritte, etwas schwächere Lücke erlaubt per präparierten Requests eine CPU-Erschöpfung (Denial of Service).
Welche Version ist betroffen?
Die use-cache- und DoS-Lücke betreffen Next.js 16.0.0 bis 16.4.0. Die SVG-Lücke reicht weiter zurück bis 15.5.27 und älter, die reine DoS-Schwachstelle sogar bis 13.0.0. Gefixt ist alles in 16.4.1; wer noch auf der 15er-Linie bleiben will, braucht mindestens 15.5.28 plus ein Update von sharp auf Version 0.35.5 oder neuer.
Workaround oder nur Update?
Bei der SVG-Lücke gibt es immerhin eine Zwischenlösung, falls ein sofortiges Framework-Update nicht möglich ist: sharp auf 0.35.5+ heben oder das SVG-Laden gezielt blockieren (sharp.block({'operation': ["VipsForeignLoadSvg"]})). Bei der use-cache-RCE und der Server-Actions-DoS-Lücke gibt es laut Vercel keinen Workaround — nur das Upgrade auf 16.4.1 schließt die Lücke vollständig.
Die gute Nachricht: Beide Critical-Lücken waren laut Vercel bereits für das September-Sicherheitsupdate vorgesehen, wurden aber wegen Abstimmung mit vorgelagerten Projekten verschoben — ein Hinweis darauf, dass hier sauber koordiniert statt überstürzt gepatcht wurde. Aktive Ausnutzung ist nach Angaben vom 15. Oktober bislang nicht bekannt, was dir noch ein kleines Zeitfenster zum Patchen verschafft.
Für Homelab-Betreiber lohnt sich der Check besonders, weil Next.js längst nicht nur hinter großen SaaS-Produkten steckt: Auch beliebte selbst gehostete Dashboards und Admin-Oberflächen setzen auf das Framework. Wer unsicher ist, ob ein laufender Container betroffen ist, sollte die Next.js-Version im package.json oder per Docker-Image-Tag prüfen und notfalls neu bauen.