Ağustos–Ekim 2026 arasında Next.js için kritik seviyede birden fazla uzaktan kod çalıştırma açığı yayımlandı. Hangi sürümler etkilendi, ne yapmalı ve güncel kalmayı nasıl rutine dönüştürürsünüz?
Neler oldu?
Ağustos ile Ekim 2026 arasında Next.js için kritik (CVSS 9.5) seviyede birden fazla güvenlik bildirimi yayımlandı. Ortak noktaları, saldırganın kimlik doğrulaması gerekmeden sunucuda kod çalıştırabilmesi (RCE) riskiydi. Açıkların bir kısmı Next.js’in kendi kodunda, bir kısmı ise görsel optimizasyonunda kullanılan sharp kütüphanesinde ve onun alt bileşenlerinde bulunuyordu.
Hangi açıklar?
AVIF görsellerin optimizasyonu sırasında tetiklenen açık 16.3.3’te; next/og ile görsel üretirken kullanıcı girdisinin SVG içeriğine aktarılmasıyla ilgili açık 16.3.6’da kapatıldı. Ekim ortasında yayımlanan iki kritik bildirim —SVG görsellerin optimizasyonu ve Cache Components kullanan uygulamalarda tipli dizi döndüren “use cache” fonksiyonları— ise 16.4.1 ile giderildi. Aynı dönemde Windows sunucularda çalışan uygulamaları etkileyen bir açık ile önbellek zehirlenmesi, SSRF ve servis dışı bırakma türünde daha düşük seviyeli bildirimler de yayımlandı.
Siteniz etkileniyor mu?
Her açık her uygulamayı etkilemez: kimi yalnızca görsel optimizasyonunu kullanan, kimi belirli bir özelliği açan uygulamaları ilgilendirir. Ama bunu tek tek analiz etmek yerine kural basit: Next.js 16 kullanıyorsanız en az 16.4.1’e, 15 serisindeyseniz 15.5.28 ve üzerine geçin. Biz kendi sitemizi 16.4.3’e taşıdık, sharp’ın düzeltilmiş sürümünü (0.35.5 ve üzeri) kullandığımızı doğruladık ve bağımlılık taramasını sıfır uyarıya indirdik.
Güncellemeyi güvenle yapmak
Bağımlılık güncellemesi “npm audit fix” yazıp geçmek değildir. Paketleri lock dosyasıyla birlikte güncelleyin, üretim derlemesini alın, kritik sayfaları ve formları test edin, sonra yayına alın. Ana sürüm atlayan güncellemelerde —React 18’den 19’a geçiş gibi— kaldırılan API’leri kod tabanında taratın. Küçük ama düzenli güncellemeler, büyük ve korkutucu geçişlerden her zaman daha güvenlidir.
Güncel kalmayı rutine dönüştürün
GitHub’ın Dependabot uyarıları ya da benzeri bir tarayıcı, açık yayımlandığı gün haber verir. Bunu her değişikliğin otomatik derlenip test edildiği bir CI hattına bağladığınızda, kritik bir yama birkaç saat içinde yayına alınabilir. DevOps’un en somut faydalarından biri tam olarak budur.
Az anlatmak da güvenliktir
Kullandığınız kütüphanelerin tam sürümlerini, veritabanı yapınızı ya da iç servis adlarınızı herkese açık sayfalarda paylaşmayın; saldırganlar bilinen açıkları sürüm numaralarıyla eşleştirir. Portfolyomuzda teknolojileri bu yüzden sürüm vermeden, yetenek düzeyinde anlatıyoruz.
Özet
Next.js’i en az 16.4.1’e güncelleyin (biz 16.4.3’ü kullanıyoruz), sharp’ın 0.35.5 veya üzerinde olduğunu kontrol edin, güncellemeyi test edip yayına alın ve bağımlılık uyarılarını takip eden bir rutin kurun. İsterseniz bakım ve DevOps hizmetimizle bu süreci sizin için yönetebiliriz.
