Vercel đã phát hành bản vá cho hai lỗ hổng mức nghiêm trọng trong Next.js, framework web phổ biến của hệ sinh thái React. Theo The Hacker News, cả hai lỗi đều có thể dẫn đến thực thi mã từ xa không cần xác thực trong một số điều kiện triển khai cụ thể, khiến quản trị viên cần ưu tiên kiểm tra và nâng cấp ngay.
Hai đường tấn công khác nhau cùng dẫn tới rủi ro RCE
Lỗ hổng thứ nhất được theo dõi là CVE-2026-75604, có điểm CVSS 9.0. Vấn đề ảnh hưởng đến các ứng dụng Next.js dùng đồng thời Pages Router và App Router, không bật Cache Components, đồng thời chạy trên hệ thống tệp Windows. Linux và macOS không bị ảnh hưởng bởi lỗi này theo thông báo của Vercel.
Điểm đáng chú ý là Vercel cho biết không có biện pháp giảm thiểu thay thế cho các ứng dụng bị ảnh hưởng đang chạy trên Windows. Vì vậy, hướng xử lý chính là nâng cấp lên phiên bản đã vá thay vì dựa vào cấu hình tạm thời.
Lỗ hổng thứ hai liên quan đến Image Optimization API khi xử lý tệp AVIF do kẻ tấn công kiểm soát. Advisory của GitHub mô tả đây là lỗi thực thi mã từ xa không cần xác thực, bắt nguồn từ heap buffer overflow trong libheif, thư viện C được sharp sử dụng để phân tích và xử lý ảnh AVIF.
Phiên bản bị ảnh hưởng và bản vá cần áp dụng
Với lỗi Windows path traversal, Vercel cho biết các phiên bản Next.js từ 13.4 đến 15.5.23 và từ 16.0 đến 16.3.2 nằm trong phạm vi ảnh hưởng. Bản vá được phát hành trong Next.js 15.5.24 cho nhánh Maintenance LTS và 16.3.3 cho nhánh Active LTS.
Với lỗi AVIF trong Image Optimization API, advisory ghi nhận phạm vi rộng hơn: Next.js từ 10.0.0 đến 15.5.23 và toàn bộ các bản 16.x đến 16.3.2. Các đội kỹ thuật có thể nâng cấp bằng cách cập nhật gói Next.js lên phiên bản 15.5.24 hoặc 16.3.3 tùy nhánh đang sử dụng.
Theo Vercel, các ứng dụng được lưu trữ trên nền tảng Vercel đã được bảo vệ trước hai lỗ hổng này và không cần nâng cấp riêng cho mục tiêu phòng vệ trên hạ tầng Vercel. Tuy vậy, những tổ chức tự vận hành Next.js trên máy chủ riêng, đặc biệt là môi trường Windows hoặc có bật tối ưu ảnh, vẫn nên rà soát độc lập.
Vì sao cảnh báo này đáng chú ý với doanh nghiệp
Next.js thường nằm ở lớp giao diện công khai của ứng dụng web. Khi lỗ hổng xuất hiện ở lớp xử lý request hoặc xử lý ảnh đầu vào, kẻ tấn công có thể nhắm trực tiếp vào bề mặt Internet mà không cần tài khoản hợp lệ. Điều này làm tăng đáng kể rủi ro đối với các hệ thống thương mại điện tử, cổng khách hàng, dashboard nội bộ mở qua VPN hoặc ứng dụng SaaS tự lưu trữ.
Đối với lỗi AVIF, rủi ro còn nằm ở chỗ tính năng tối ưu ảnh thường được xem là thành phần phụ trợ mặc định. Nếu pipeline xử lý ảnh nhận dữ liệu từ người dùng, CMS, đối tác hoặc URL ngoài, tệp ảnh độc hại có thể trở thành điểm vào cho khai thác bộ nhớ ở tầng thư viện gốc.
Khuyến nghị xử lý
Đội vận hành nên lập danh sách ứng dụng đang dùng Next.js, xác định phiên bản thực tế trong lockfile và môi trường runtime, sau đó ưu tiên nâng cấp các hệ thống tự lưu trữ. Với máy chủ Windows, cần xử lý như một bản vá khẩn cấp nếu ứng dụng rơi vào cấu hình bị ảnh hưởng.
Các nhóm phát triển cũng nên kiểm tra Image Optimization API, chính sách nhận ảnh đầu vào và log lỗi bất thường liên quan đến xử lý AVIF. Trong ngắn hạn, việc giới hạn nguồn ảnh tin cậy, giám sát request bất thường và kiểm soát cập nhật dependency của sharp/libheif có thể giúp giảm rủi ro trong khi chờ hoàn tất nâng cấp.
Sự việc cho thấy các framework hiện đại không chỉ cần được cập nhật ở lớp JavaScript, mà còn ở toàn bộ chuỗi phụ thuộc xử lý ảnh, hệ thống tệp và thành phần native bên dưới. Với những ứng dụng web công khai, quy trình quản trị phiên bản framework cần được xem là một phần của quản trị rủi ro an ninh, không chỉ là công việc bảo trì kỹ thuật.
VNCyberS tổng hợp từ The Hacker News, Vercel và GitHub Security Advisory
Tiếng Việt
English