Il framework Next.js affronta nuove falle di sicurezza critiche che consentono l'esecuzione remota di codice. Nel frattempo, F5 ha rilasciato aggiornamenti per NGINX per correggere vulnerabilità simili.
Il team di sviluppo di Vercel ha recentemente affrontato una serie di vulnerabilità critiche nel popolare framework Next.js, rilasciando aggiornamenti di sicurezza fuori ciclo per le versioni 16.4.1 e 15.5.28. Queste patch intervengono su tre distinte falle, due delle quali classificata con un punteggio CVSS di 9.5, che espongono le applicazioni a rischi significativi di Remote Code Execution (RCE) e Denial of Service (DoS).
La prima vulnerabilità di RCE è emersa nei React Server Components, specificamente in pacchetti come react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack. Il problema si manifesta in scenari particolari legati all'uso della funzione use cache quando questa restituisce più array tipizzati. Nonostante la rarità della condizione di innesco, gli esperti di sicurezza raccomandano l'aggiornamento a prescindere dall'effettivo utilizzo di questa specifica funzionalità.
La seconda falla di esecuzione remota di codice è stata individuata in librsvg, una libreria open source utilizzata da Next.js tramite il pacchetto sharp per il rendering di immagini SVG. L'attacco è possibile quando il framework opera su sistemi Linux basati su glibc, a condizione che l'ottimizzatore di immagini sia configurato per accettare file SVG (tramite il flag dangerouslyAllowSVG) o se viene utilizzata la funzionalità next/og per le anteprime social. Questa vulnerabilità, tracciata come CVE-2026-96889, era già nota dal 23 settembre, ma la sua integrazione nel framework ha richiesto un intervento tempestivo a causa della facilità con cui può essere raggiunta via rete.
La terza vulnerabilità riguarda un attacco di Denial of Service. Nelle applicazioni che utilizzano l'App Router e definiscono almeno una Server Action, è possibile inviare richieste manipolate in grado di saturare l'utilizzo della CPU, bloccando di fatto la capacità del server di gestire ulteriore traffico.
Per proteggere le proprie infrastrutture, è fondamentale aggiornare immediatamente Next.js alle versioni 16.4.1 o 15.5.28. Per gli utenti della versione 16, l'aggiornamento del pacchetto sharp alla versione 0.35.5 (o superiore) avviene automaticamente. Gli utenti della versione 15, invece, devono verificare manualmente la versione di sharp installata tramite il comando npm ls sharp, poiché il gestore dei pacchetti potrebbe mantenere una versione obsoleta e vulnerabile.
Nel caso in cui un aggiornamento immediato non fosse possibile, per la falla legata a librsvg è disponibile una mitigazione temporanea bloccando il rendering SVG tramite la configurazione sharp.block({ operation: ["VipsForeignLoadSvg"] }). Tuttavia, per le vulnerabilità legate a use cache e alle Server Actions, l'aggiornamento del framework rimane l'unica soluzione.
Parallelamente agli aggiornamenti di Next.js, la società di sicurezza e application delivery F5 ha annunciato la risoluzione di undici problemi di sicurezza in NGINX, il popolare server web. Tra queste, spiccano vulnerabilità critiche che potrebbero consentire l'esecuzione remota di codice senza autenticazione tramite richieste HTTP appositamente create.
Le falle CVE-2026-15176 e CVE-2026-93479, entrambe con un punteggio CVSS di 9.2, sono vulnerabilità di heap-based buffer overflow. In determinate condizioni, un attaccante non autenticato potrebbe sfruttarle per causare una condizione di Denial of Service o, potenzialmente, eseguire codice arbitrario. L'esecuzione remota di codice diventa una possibilità concreta se l'ASLR (Address Space Layout Randomization) è disabilitato o aggirabile.
La vulnerabilità CVE-2026-15176 si manifesta in specifiche configurazioni che coinvolgono la direttiva alias e la variabile $request_filename. La CVE-2026-93479, invece, riguarda configurazioni in cui le variabili di cattura delle espressioni regolari dalla direttiva map vengono referenziate prima della variabile di output della mappa, o quando una variabile non memorizzabile nella cache viene utilizzata in un'espressione stringa.
Una terza vulnerabilità critica, tracciata come CVE-2026-97205 (CVSS 9.2), è una falla di use-after-free nel modulo ngx_http_core_module. In determinate configurazioni con l'I/O asincrono dei file (AIO) abilitato, questa vulnerabilità può causare corruzione della memoria o terminazione inattesa del processo worker durante l'elaborazione di pagine SSI (Server Side Includes) contenenti comandi include virtual. Anche in questo caso, un attaccante remoto potrebbe sfruttarla per causare un DoS o potenzialmente eseguire codice, soprattutto se l'ASLR è disabilitato o aggirabile.
Questi incidenti sottolineano l'importanza di un monitoraggio costante delle dipendenze e degli aggiornamenti di sicurezza, sia per gli sviluppatori di applicazioni web che per gli amministratori di sistema. La complessità delle moderne architetture software rende fondamentale una vigilanza continua per mitigare i rischi derivanti da vulnerabilità potenzialmente devastanti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
