Lücken in Next.js und React: Wen die Oktober-Patches betreffen

Läuft Ihre Website oder Ihr Shop auf Next.js, sind im Oktober wichtige Sicherheitskorrekturen dafür erschienen. Am 14. Oktober 2026 veröffentlichte das Next.js-Team die Versionen 16.4.1 und 15.5.28, die drei Lücken schließen. Zwei davon können es einer fremden Person ermöglichen, ohne Anmeldung eigenen Code auf dem Server auszuführen. Am selben Tag erschienen auch Korrekturen für React für Websites, die React Server Components nutzen.

Nicht jede Website auf Next.js ist gefährdet, und viele Firmen wissen überhaupt nicht, worauf ihre Website läuft. Unten erkläre ich, wen diese Lücken betreffen, wie Sie die Version ohne IT-Fachkraft prüfen, was Sie heute tun sollten und was Sie dem Dienstleister auftragen sollten. Stand: 30. Oktober 2026. Die Versionen mit Patches können sich ändern, prüfen Sie sie daher vor dem Update im Blog von Next.js.

Was am 14. Oktober passiert ist

Next.js ist ein verbreitetes Framework zum Bau von Websites und Shops mit React, entwickelt von der Firma Vercel. Am 14. Oktober veröffentlichte das Team ein Sicherheitsupdate außerhalb des üblichen Zeitplans. Die Ankündigung im Blog von Next.js beschreibt drei Fehler:

• Bildoptimierung und SVG-Dateien (CVE-2026-96889). Der Fehler steckt in der Bibliothek librsvg, die sharp nutzt, also das Tool, das Bilder auf dem Server verkleinert. Unter Linux mit der Bibliothek glibc kann eine präparierte SVG-Datei zur Ausführung von Code aus der Ferne führen. Schweregrad: kritisch.
• „use cache“-Funktionen (GHSA-673q-mjm6-r5xr). Betrifft nur Next.js 16 mit aktivierten Cache Components. Gibt eine Funktion mit der Direktive use cache mehrere typisierte Arrays (typed arrays) zurück, kann jemand ohne Anmeldung Code auf dem Server ausführen. Einen Workaround gibt es nicht. Schweregrad: kritisch.
• Server Actions (GHSA-p3m5-59mp-jv5r). Präparierte Anfragen können den Prozessor so stark belasten, dass die Website nicht mehr antwortet (DoS-Angriff). Schweregrad: hoch.

Beide kritischen Lücken haben in den Meldungen auf GitHub eine Bewertung von 9,5 von 10 auf der Skala CVSS 4.0. Die singapurische Cybersicherheitsbehörde CSA empfiehlt in einem Alert vom 20. Oktober ein sofortiges Update. Vercel erwähnt in der Ankündigung keine Angriffe, und die Lücke CVE-2026-96889 steht nicht im Katalog CISA KEV, also dem US-Verzeichnis der in Angriffen ausgenutzten Lücken (Stand 29.10.2026). Das ist ein guter Moment, die Website in Ruhe zu patchen und nicht in Eile.

Wen diese Lücken betreffen

Kurz gesagt: Sie betreffen Websites, bei denen Next.js auf dem Server läuft, also Seiten oder Bilder in dem Moment aufbereitet, in dem jemand aus Ihrer Kundschaft die Website aufruft.

Bei der Lücke in „use cache“ empfiehlt Next.js das Update auch dann, wenn das Projekt keine solchen Funktionen enthält. Eine Website auf Next.js erhält die React-Korrekturen zusammen mit dem Next.js-Update, denn das Framework hat eine eigene Kopie dieser Pakete. Separat aktualisieren müssen sie Projekte, die React Server Components in einem anderen Tool nutzen, zum Beispiel in React Router oder Waku.

Was diese Lücken nicht betreffen:

• Websites auf WordPress, WooCommerce, Shoper (einer polnischen Shop-Plattform) und anderen Systemen ohne Next.js,
• Anwendungen nur mit React ohne Server (zum Beispiel mit Vite gebaut): Das React-Team schreibt ausdrücklich, dass Code ohne Server nicht gefährdet ist,
• statisch exportierte Next.js-Websites (output: 'export'). Auf dem Hosting liegen dann nur HTML-, CSS- und JavaScript-Dateien, und der statische Export unterstützt weder Server Actions noch die standardmäßige Bildoptimierung. Aktualisieren Sie eine solche Website trotzdem beim nächsten Neubau.

Vorsicht bei alten Versionen. Laut der Support-Richtlinie von Next.js erhalten die Linien 14.x und älter keine Updates mehr, und die Oktober-Patches erschienen nur für 15.5 und 16.4. Eine Website auf Next.js 14 muss auf eine neuere Linie umsteigen. Die Linie 15 soll Sicherheitskorrekturen bis zum 31. Januar 2027 erhalten, es lohnt sich also, den Umstieg auf 16 schon jetzt zu planen.

Vercel, Netlify oder eigener Server

• Eigener Server (VPS, Docker, Hosting mit Node.js). Hier ist das Risiko am größten, denn die Bilder verarbeitet Ihr Server, meist mit Linux. Die verbreiteten Systeme Debian und Ubuntu nutzen glibc.
• Netlify. In der Mitteilung vom 14. Oktober schreibt Netlify, dass Bilder aus next/image über seinen eigenen Dienst Image CDN laufen, die SVG-Lücke greift auf diesem Weg also nicht. Die Lücke in „use cache“ betrifft aber auch Websites auf Netlify. Netlify empfiehlt das Update und das Löschen öffentlicher Vorschauen alter Deployments (Deploy Previews), weil sie verwundbar bleiben können.
• Vercel. Ich habe keine Mitteilung von Vercel gefunden, dass die Plattform Projekte selbst vor diesen Lücken schützt (beim Release im August gab es eine solche Mitteilung). Gehen Sie also davon aus, dass das Projekt aktualisiert und neu deployt werden muss.

So prüfen Sie, ob Ihre Website gefährdet ist

Weg 1: Browser (2 Minuten)

1. Öffnen Sie Ihre Website in Chrome oder Edge am Computer.
2. Drücken Sie F12 (oder klicken Sie mit der rechten Maustaste und wählen Sie Untersuchen) und öffnen Sie dann den Tab Console (Konsole).
3. Geben Sie next.version ein und drücken Sie die Eingabetaste.

Erscheint eine Nummer, zum Beispiel "16.4.0", läuft die Website auf Next.js, und Sie kennen ihre Version. Version 16.4.1 oder höher oder, in der Linie 15, 15.5.28 oder höher bedeutet, dass die Oktober-Patches eingespielt sind. Vergleichen Sie die Zahlen zwischen den Punkten einzeln: 15.5.3 ist eine ältere Version als 15.5.28. Zeigt die Konsole den Fehler „next is not defined“, ist die Website höchstwahrscheinlich nicht mit Next.js gebaut.

Diese Methode verrät nicht, ob die Website „use cache“ oder Server Actions nutzt und welche sharp-Version auf dem Server ist. Das weiß der Dienstleister.

Weg 2: Projektdateien

Haben Sie Zugang zum Repository (zum Beispiel auf GitHub), öffnen Sie die Datei package.json und suchen Sie die Zeile mit "next". Die Schreibweise ^16.4.0 bedeutet einen Bereich, die genaue Version zeigt die Lockdatei: package-lock.json, pnpm-lock.yaml oder yarn.lock. Wer programmiert, prüft alles mit einem Befehl:

npm ls next sharp

Weg 3: Hosting-Panel

Öffnen Sie bei Vercel und Netlify das letzte Deployment und seine Build-Logs. Next.js gibt zu Beginn des Builds eine Zeile mit der Version aus, zum Beispiel „▲ Next.js 16.4.1“. Prüfen Sie das Produktions-Deployment und nicht nur das Test-Deployment.

Was Sie heute tun sollten

1. Klären Sie, ob die Website auf Next.js läuft und in welcher Version. Weg 1 oder eine Frage an den Dienstleister genügt.
2. Legen Sie ein Backup an von Code und Daten. Wie Sie das ordentlich machen, beschreibe ich im Ratgeber zum Backup nach der 3-2-1-Regel.
3. Aktualisieren Sie Next.js auf mindestens 16.4.1 (Linie 16) oder 15.5.28 (Linie 15). Ende Oktober war die neueste Version 16.4.3 vom 23. Oktober.
4. Prüfen Sie sharp. Es muss Version 0.35.5 oder neuer haben. Next.js 15.5.28 lässt noch den älteren Zweig sharp 0.34 zu, vergewissern Sie sich nach dem Update also, was tatsächlich installiert wurde.
5. Bauen und deployen Sie die Website neu, und klicken Sie danach die wichtigsten Stellen durch: Formular, Warenkorb, Anmeldung, Bildergalerie.
6. Planen Sie das nächste Update. Für den 3. November hat Next.js ein planmäßiges Sicherheitsrelease angekündigt mit Korrekturen für sieben Lücken mittleren Schweregrads. Wenn es erscheint, wiederholen Sie die Schritte 2–5.

Befehle für die Person, die die Website deployt:

npm install next@16.4.1   # Linie 16 (oder neuer 16.4.x)
npm install next@15.5.28  # Linie 15
npm ls sharp              # erwartet: 0.35.5 oder neuer

Läuft die Website auf 16.0–16.3, ist der Umstieg auf 16.4.1 mehr als eine kleine Korrektur und erfordert einen Test vor dem Deployment. Dauert das länger, ist das Erzwingen von sharp 0.35.5 oder neuer ein vorübergehender Workaround für die Lücke bei den Bildern. Für die Lücke in „use cache“ gibt es keinen Workaround.

Was Sie dem Hosting oder dem Dienstleister auftragen sollten

Das Hosting aktualisiert meist das System und Node.js, aber nicht die Pakete Ihrer Anwendung. Next.js und sharp sind Teil des Projekts, sie aktualisiert also der Dienstleister der Website oder eine Person mit Zugang zu Code und Deployments. Wer wofür zuständig ist, steht am besten im Vertrag über die Erstellung der Website.

Nachricht zum Kopieren:

Guten Tag, im Zusammenhang mit dem Sicherheitsupdate von Next.js vom 14. Oktober 2026 bitte ich um:

1. die Information, auf welcher Version von Next.js und sharp unsere Website läuft (Produktion, Testversion und Vorschauen),
2. das Update auf mindestens 16.4.1 oder 15.5.28 und die Bestätigung der Version nach dem Deployment,
3. die Information, ob die Website Bildoptimierung, Server Actions und „use cache“ nutzt,
4. einen Plan für das Update nach dem für den 3. November angekündigten Sicherheitsrelease von Next.js.

Bitte antworten Sie bis [Datum]. Vielen Dank.

Antwortet der Dienstleister, die Website „nutzt kein SVG“, fragen Sie nach Details. Standardmäßig optimiert Next.js keine SVG-Dateien, und ein Teil der Analysen verbindet das Risiko mit der aktivierten Option dangerouslyAllowSVG. Die offizielle Ankündigung schränkt das aber nicht ein, das ist also kein Grund, das Update aufzuschieben.

Next.js läuft auf Node.js, bitten Sie also bei der Gelegenheit auch um eine Prüfung der Node.js-Version. Das beschreibe ich im Ratgeber zur Lücke Node2Shell (CVE-2026-111497) in Node.js und Brotli.

Haben Sie keinen Kontakt mehr zum Dienstleister, kann ich die Website im Rahmen der technischen Betreuung übernehmen. Das Paket Wache (ab 149 PLN netto pro Monat) umfasst Monitoring, Backups, Sicherheitsupdates und eine Reaktion innerhalb von 2 Werktagen. Standard (ab 349 PLN) und Pro (ab 749 PLN) bieten zusätzlich Arbeitsstunden und eine schnellere Reaktion, bei Pro innerhalb von 4 Stunden.

So verpassen Sie keine weiteren Patches

Seit Juli 2026 veröffentlicht Next.js Sicherheitskorrekturen nach einem festen Programm und kündigt sie einige Tage vorher an. Bei schweren Lücken erscheinen sie auch außer der Reihe, wie am 14. Oktober. Drei Gewohnheiten genügen:

• Verfolgen Sie die Sicherheitsmeldungen von Next.js auf GitHub (Security Advisories) oder den Blog von Next.js.
• Aktivieren Sie Dependabot im Repository des Projekts. Er schlägt selbst Updates für Pakete vor, in denen Lücken gefunden wurden.
• Vereinbaren Sie mit dem Dienstleister eine Reaktionszeit, zum Beispiel das Einspielen eines Patches für eine kritische Lücke innerhalb von 48 Stunden nach seiner Veröffentlichung.

Zusammenfassung

Die Oktober-Lücken betreffen Websites, bei denen Next.js auf dem Server läuft: mit Bildoptimierung, Server Actions oder „use cache“. Prüfen Sie die Version im Browser, bitten Sie den Dienstleister um das Update auf 16.4.1 oder 15.5.28 (oder neuer) mit schriftlicher Bestätigung und vergessen Sie das Release vom 3. November nicht. Wenn Sie möchten, dass jemand das für Sie erledigt, schreiben Sie mir: Ich prüfe die Versionen und aktualisiere die Website, und bei einem größeren Projekt führe ich ein Sicherheitsaudit durch. Neue Websites auf Next.js baue ich im Rahmen der Leistung Maßgeschneiderte Website.