İçeriğe geç
Menü

Next.js ve Drupal, web sitelerinde kod çalıştırmaya izin veren kritik açıkları kapattı

Yaygın kullanılan iki web altyapısı 14 Ekim'de kritik güncellemeler yayımladı. Next.js olağan takvimin dışında acil sürüm çıkardı, Drupal'ın açığı ise eklenti modülleri üzerinden giriş yapmadan kullanılabiliyor.

Kırmızı Ekip
  • Güncellendi:
  • 2 dk okuma
  • 4 kaynak

Kısaca

  • Next.js'teki iki açık 16.4.1 ve 15.5.28 sürümleriyle kapatıldı. 15 serisinde sharp kütüphanesinin de en az 0.35.5'e güncellenmesi gerekiyor.
  • Drupal çekirdeğindeki CVE-2026-108097 için 11.4.10, 11.3.19 ve 10.6.19 sürümleri yayımlandı. Desteği bitmiş Drupal 8 ve 9 için düzeltme yok. İki üründe de saldırı bildirilmedi.

Web sitesi ve uygulama geliştirmede yaygın kullanılan iki altyapı, Next.js ve Drupal, 14 Ekim’de kritik açıkları kapatan güncellemeler yayımladı. İki üründe de açıklar belirli koşullarda sunucuda kod çalıştırılmasına yol açabiliyor.

Next.js’i geliştiren Vercel, olağan takvimin dışında bir acil güncelleme çıkardı. İlk açık, React Server Components’teki “use cache” özelliğinde. App Router kullanan ve Cache Components özelliği açık olan uygulamalarda, birden fazla typed array döndüren bir önbellek işlevi kod çalıştırılmasına yol açabiliyor. Açık Next.js 16.0.0 ile 16.4.0 arasındaki sürümleri etkiliyor. Vercel, bu tür bir işlev kullanmayanların da güncellemesini öneriyor. İkinci açık (CVE-2026-96889), Next.js’in görsel işlemek için kullandığı sharp kütüphanesinin arkasındaki librsvg’de. Saldırganın sağladığı SVG dosyaları glibc tabanlı Linux sunucularda işlendiğinde kod çalıştırılabiliyor. Vercel iki açığa da 9.5 puan verdi. Aynı güncelleme, Server Actions kullanan uygulamalarda tek bir sunucu sürecinin işlemcisini tamamen meşgul edebilen bir hizmet engelleme açığını da kapatıyor.

Drupal’ın çekirdeğindeki CVE-2026-108097 ise alan yönetimini sağlayan Field UI bileşeninde. Drupal açığı kritik olarak sınıflandırdı. Açığa yalnızca çekirdekle ulaşılamıyor, ancak bazı eklenti modülleri üzerinden ulaşılabiliyor ve bilinen yollardan en az biri giriş gerektirmiyor. Aynı koşullara sahip ikinci bir kritik açık (CVE-2026-108099), Entity List modülünde bulundu. Çekirdeği güncellemek bu modülü güncellemiyor.

Önerilen önlemler

Next.js kullananların 16.4.1’e ya da 15 serisinde 15.5.28’e geçmesi gerekiyor. 15.5.28, eski ve açık içeren sharp 0.34 sürümünü kabul etmeye devam ettiği için “npm ls sharp” komutuyla kontrol edilip sharp’ın en az 0.35.5’e yükseltilmesi gerekiyor. Haberlere göre “use cache” ve Server Actions açıkları 15 Ekim itibarıyla npm audit’in kullandığı bildirim kaynağında henüz yoktu, yani bu araç açıkları göstermeyebilir.

Drupal kullananların 11.4.10, 11.3.19 ya da 10.6.19 sürümüne geçmesi ve Entity List modülü kuruluysa onu da 3.0.10’a güncellemesi gerekiyor. Drupal 11.2.x, 10.5.x ve öncesi ile Drupal 8 ve 9’un desteği bittiği için bu sürümler için düzeltme yayımlanmadı. Bu sürümleri kullanan sitelerin desteklenen bir sürüme taşınması gerekiyor.

Kaynaklar

Bu konuda