Siber Güvenlik Başkanlığı Next.js açığı için bildirim yayımladı, Server Actions kullanan uygulamalar hizmet dışı bırakılabiliyor

Siber Güvenlik Başkanlığı 23 Ekim’de, web uygulamaları geliştirmek için yaygın kullanılan React tabanlı Next.js çatısındaki bir açık için TR-26-1387 numaralı güvenlik bildirimini yayımladı. Bildirim kısa: Next.js’te bir güvenlik zafiyeti tespit edildiğini, saldırganların bu açığı kullanarak saldırı gerçekleştirmesinin ihtimal dahilinde olduğunu belirtiyor ve CVE-2026-94482 numarasını veriyor. Başkanlık, kullanıcı ve sistem yöneticilerine ilgili dokümanı gözden geçirip gerekli güncellemeleri yapmalarını tavsiye ediyor.

Bildirimde açığın türü, hangi sürümlerin etkilendiği ve hangi sürüme geçilmesi gerektiği yer almıyor. Bu ayrıntılar, bildirimde kaynak gösterilen Next.js güvenlik bildirimleri sayfasında ve açığın CVE kaydında bulunuyor. Bunlara göre açık yeni değil: Next.js bu açığı 14 Ekim’de yayımladığı güncellemeyle kapatmıştı, açığın CVE kaydı ise 22 Ekim’de yayımlandı.

Açığın ayrıntıları

GitHub üzerinden yayımlanan CVE kaydına göre açık bir hizmet engelleme (denial of service) açığı. En az bir Server Action içeren App Router uygulamalarını hedef alan hazırlanmış istekler, aşırı işlemci tüketimine yol açıyor ve aynı süreçteki diğer isteklerin işlenmesini engelliyor. Yani açık kod çalıştırmaya ya da veri sızdırmaya değil, uygulamanın yanıt veremez hâle gelmesine yol açıyor.

Açığın CVSS 4.0 puanı 8.2 ve önem derecesi yüksek. Puan vektörüne göre saldırı ağ üzerinden, kimlik doğrulama ve kullanıcı etkileşimi gerektirmeden yapılabiliyor, ancak saldırının başarılı olması için hedef uygulamada belirli koşulların bulunması gerekiyor.

Etkilenen ve düzeltilmiş sürümler

• Next.js 13.0.0 ile 15.5.28 öncesi: düzeltilmiş sürüm 15.5.28
• Next.js 16.0.0 ile 16.4.1 öncesi: düzeltilmiş sürüm 16.4.1

Pages Router kullanan uygulamalar ve hiç Server Action içermeyen App Router uygulamaları etkilenmiyor.

Önerilen önlemler

14 Ekim güncellemesini yapanların bu açık için ayrıca bir şey yapmasına gerek yok. Henüz yapmayanlar uygulamalarını 15.5.28 ya da 16.4.1 veya daha yeni bir sürüme güncellemeli. Aynı sürümler, 14 Ekim’de kapatılan ve kod çalıştırmaya izin veren kritik açıkların da düzeltmesini içeriyor (16.4.1 iki, 15.5.28 bir kritik açığı kapatıyor). Görüntü işleme açığı için Next.js’in kullandığı sharp kütüphanesinin en az 0.35.5 sürümünde olması gerekiyor.

14 Ekim güncellemesiyle ilgili haberimiz: Next.js ve Drupal, web sitelerinde kod çalıştırmaya izin veren kritik açıkları kapattı