Cảnh báo lỗ hổng RCE nghiêm trọng trong Next.js: Cập nhật ngay bản vá

• Phát hiện lỗ hổng: Next.js công bố các lỗ hổng nghiêm trọng liên quan đến Cache Components, xử lý ảnh SVG và Server Actions.
• Tác động: Kẻ tấn công có thể thực thi mã từ xa (RCE) mà không cần xác thực hoặc gây ra tình trạng từ chối dịch vụ (DoS).
• Phiên bản bị ảnh hưởng: Các phiên bản từ 10.0.0 đến 16.4.0 tùy thuộc vào tính năng sử dụng.
• Khuyến nghị: Nâng cấp ngay lập tức lên Next.js 16.4.1 hoặc 15.5.28 để khắc phục triệt để.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về ba lỗ hổng bảo mật nghiêm trọng trong framework Next.js, cho phép kẻ tấn công thực thi mã từ xa (Remote Code Execution - RCE) hoặc làm gián đoạn dịch vụ (Denial of Service - DoS). Các lỗ hổng này ảnh hưởng đến nhiều phiên bản khác nhau và yêu cầu quản trị viên hệ thống phải thực hiện cập nhật bản vá ngay lập tức.

Chi tiết các lỗ hổng bảo mật trong Next.js

Theo báo cáo từ các chuyên gia an ninh mạng, các lỗ hổng này xuất phát từ cơ chế xử lý hàm cache, quy trình xử lý ảnh SVG và tính năng Server Actions. Dưới đây là bảng tổng hợp các mã định danh và mức độ ảnh hưởng của các lỗ hổng được công bố vào ngày 14 tháng 10 năm 2026.

Lỗ hổng thực thi mã từ xa (RCE) qua Cache Components

Lỗ hổng GHSA-673q-mjm6-r5xr ảnh hưởng đến các ứng dụng sử dụng App Router với tính năng use cache. Khi một hàm use cache trả về nhiều typed arrays, kẻ tấn công có thể lợi dụng cơ chế này để thực thi mã độc từ xa mà không cần bất kỳ tương tác người dùng hay quyền truy cập nào. Lỗ hổng này ảnh hưởng đến các phiên bản từ 16.0.0 đến 16.4.0.

Lỗ hổng CVE-2026-96889 trong Image Optimization API

Lỗ hổng CVE-2026-96889 liên quan đến một điểm yếu trong thư viện xử lý ảnh upstream mà Next.js sử dụng để xử lý các tệp tin SVG. Trên các hệ thống chạy Linux dựa trên glibc, kẻ tấn công có thể khai thác lỗ hổng này để đạt được quyền thực thi mã từ xa. Để khắc phục, người dùng cần đảm bảo ứng dụng sử dụng thư viện sharp phiên bản 0.35.5 trở lên.

Lỗ hổng từ chối dịch vụ (DoS) qua Server Actions

Lỗ hổng GHSA-p3m5-59mp-jv5r tác động đến các ứng dụng App Router có sử dụng Server Actions. Bằng cách gửi các yêu cầu được thiết kế đặc biệt, kẻ tấn công có thể khiến CPU tiêu thụ tài nguyên quá mức, dẫn đến việc ứng dụng không thể xử lý các yêu cầu tiếp theo. Các phiên bản từ 13.0.0 đến 15.5.27 và 16.0.0 đến 16.4.0 đều nằm trong diện bị ảnh hưởng.

Hướng dẫn phòng thủ và khắc phục

Việc cập nhật phiên bản là biện pháp duy nhất để loại bỏ các rủi ro bảo mật này. Không có giải pháp thay thế (workaround) nào được khuyến nghị cho các lỗ hổng RCE nêu trên. Quản trị viên cần thực hiện các bước sau:

• Nâng cấp Next.js: Cập nhật ứng dụng lên phiên bản 16.4.1 hoặc 15.5.28 tùy thuộc vào nhánh phiên bản đang sử dụng.
• Kiểm tra thư viện phụ thuộc: Đảm bảo rằng gói sharp đã được cập nhật lên phiên bản 0.35.5 để vá lỗi liên quan đến xử lý ảnh SVG.
• Rà soát cấu hình: Kiểm tra xem ứng dụng có đang sử dụng các tính năng use cache hoặc Server Actions hay không để đánh giá mức độ phơi nhiễm.

⚠️ Cảnh báo quan trọng: Việc chỉ cập nhật thư viện sharp sẽ không giải quyết được các lỗ hổng RCE liên quan đến use cache hoặc lỗ hổng DoS trong Server Actions. Quản trị viên bắt buộc phải cập nhật toàn bộ framework Next.js lên phiên bản mới nhất theo khuyến cáo từ nhà phát triển.

Để biết thêm thông tin chi tiết về các bản vá, bạn có thể tham khảo tài liệu chính thức từ Next.js Security Advisory. Việc duy trì quy trình quản lý lỗ hổng (Vulnerability Management) chặt chẽ là yếu tố then chốt để bảo vệ hạ tầng ứng dụng trước các mối đe dọa mạng ngày càng tinh vi.