Next.js emergency patch: two critical RCE flaws allow unauthenticated remote code execution
15/10/2026-16:24 15/10/2026-16:26 מחשבים וטכנולוגיה CyberSec Guru דיווח
Vercel has shipped an out-of-band security update for Next.js that fixes two critical remote code execution vulnerabilities, both rated CVSS 9.5, and a high-severity denial-of-service flaw. Either RCE flaw lets an unauthenticated attacker run arbitra
סיכום מאמרVercel פרסמה עדכון אבטחה חירום (out‑of‑band) ל‑Next.js שמטפל בשתי פגיעות ריצוע קוד מרחוק (RCE) קריטיות, שניהם מדורגים CVSS 9.5, ובפגיעת מניעת שירות (DoS) ברמת חומרה גבוהה. הפגיעות מאפשרות לתוקף לא מאומת להריץ קוד זדוני על שרתים running Next.js ללא צורך באימות, מה שמציב סיכון מיידי למערכות ייצור. עדכון החירום כולל תיקונים ל‑React‑server‑components ול‑middleware שמנעו את ניצול הפגיעות, וכן ממליץ על שדרוג מיידי לגרסה האחרונה כדי למנוע ניצול ולצמצם את הסיכון להפסקת שירות. מנהלי מערכות ומפתחים מוזמנים לבדוק את גרסת Next.js בסביבתם ולהחיל את הפATCH בהקדם האפשרי. מומלץ גם לעקוב אחר ייעוצי האבטחה של Vercel ולהחיל נהלי עדכון שתוכן זה נוצר על ידי בינה מלאכותית.
