Điểm chính

  • Next.js đối mặt với ba lỗ hổng bảo mật nghiêm trọng liên quan đến cơ chế cache, xử lý ảnh SVG và Server Actions.
  • Kẻ tấn công có thể tận dụng các điểm yếu này để thực thi mã từ xa hoặc gây quá tải hệ thống.
  • Quản trị viên cần nhanh chóng cập nhật lên các phiên bản vá lỗi được khuyến nghị từ nhà phát triển.

Các chuyên gia nghiên cứu bảo mật vừa phát hiện ba lỗ hổng nghiêm trọng trong framework Next.js, tạo ra nguy cơ thực thi mã từ xa (RCE) và từ chối dịch vụ (DoS) đối với nhiều hệ thống.

Chi tiết các lỗ hổng bảo mật trong Next.js

Theo báo cáo công bố vào giữa tháng 10 năm 2026, các lỗ hổng này xuất phát từ cách thức vận hành của hàm cache, quy trình xử lý tệp tin SVG và tính năng Server Actions. Quản trị viên hệ thống được khuyến cáo cần tiến hành kiểm tra và cập nhật bản vá ngay lập tức để bảo vệ hạ tầng.

Phân tích từng lỗ hổng cụ thể

Lỗ hổng đầu tiên mang mã định danh GHSA-673q-mjm6-r5xr, tác động đến các ứng dụng sử dụng App Router kết hợp với tính năng use cache. Khi một hàm use cache trả về nhiều mảng kiểu dữ liệu (typed arrays), kẻ xấu có thể lợi dụng để thực thi mã độc từ xa mà không cần sự can thiệp của người dùng hay đặc quyền hệ thống. Điểm yếu này ảnh hưởng đến các phiên bản Next.js từ 16.0.0 đến 16.4.0.

Lỗ hổng thứ hai là CVE-2026-96889, bắt nguồn từ thư viện xử lý ảnh upstream mà Next.js sử dụng cho các tệp SVG. Trên các môi trường Linux chạy glibc, lỗ hổng này cho phép kẻ tấn công đạt được quyền thực thi mã từ xa. Để khắc phục, hệ thống cần nâng cấp thư viện sharp lên phiên bản từ 0.35.5 trở lên.

Cuối cùng là lỗ hổng GHSA-p3m5-59mp-jv5r, ảnh hưởng đến các ứng dụng App Router ứng dụng Server Actions. Kẻ tấn công có thể gửi các gói tin tùy chỉnh nhằm làm tiêu thụ cạn kiệt tài nguyên CPU, dẫn đến tình trạng treo hệ thống và không thể đáp ứng các yêu cầu từ người dùng. Phạm vi ảnh hưởng bao gồm các phiên bản từ 13.0.0 đến 15.5.27 và từ 16.0.0 đến 16.4.0.

Biện pháp khắc phục và khuyến cáo

Hiện tại, việc cập nhật phiên bản phần mềm là phương pháp duy nhất để loại bỏ triệt để các rủi ro bảo mật nói trên, do không có giải pháp tạm thời nào được đưa ra. Quản trị viên nên tham khảo tài liệu chính thức từ Next.js Security Advisory và duy trì quy trình quản lý lỗ hổng nghiêm ngặt nhằm phòng ngừa các cuộc tấn công mạng phức tạp.