根據 thehackernews.com 的報導，Vercel 近期針對其開發的 Next.js 網頁框架發布了緊急安全更新，用以修補兩項嚴重等級為 Critical 的漏洞。這兩項漏洞最危險之處在於，攻擊者無需經過身份驗證，即可在受影響的伺服器上實現遠端程式碼執行（Remote Code Execution, RCE）。RCE 是一種極高風險的攻擊方式，允許攻擊者從遠端發送指令並在目標伺服器上執行任意程式碼，進而完全控制系統、竊取敏感資料或植入惡意軟體。
背景與受影響範圍
這兩次漏洞涉及的技術路徑截然不同，分別針對圖片處理庫與特定的作業系統檔案系統。受影響的 Next.js 版本涵蓋範圍極廣，其中 AVIF 漏洞影響 10.0.0 至 15.5.23 以及 16.x 系列至 16.3.2 的版本；而 Windows 路徑遍歷漏洞則影響 13.4 至 15.5.23 以及 16.0 至 16.3.2 的版本。
值得注意的是，若應用程式直接部署在 Vercel 的雲端平台，官方已完成保護，使用者無需手動更新。但對於採取自我託管（Self-hosted）部署的開發者，必須立即將版本升級至 Next.js 15.5.24（維護長期支援版）或 16.3.3（主動長期支援版）。
核心漏洞分析：AVIF 圖片處理缺陷
第一個關鍵漏洞源於 Next.js 使用的圖片優化機制。Next.js 依賴一個名為 sharp 的圖片處理套件，而 sharp 內部則調用 libheif 這個 C 語言編寫的函式庫來解析 AVIF 格式的圖片。AVIF 是一種高效能的現代影像格式，旨在提供比 JPEG 或 WebP 更高的壓縮率。
漏洞的核心在於 libheif 的影像縮放（Scaling）代碼中存在堆疊緩衝區溢位（Heap Buffer Overflow）。當攻擊者上傳一個經過特殊構造的 AVIF 檔案時，該檔案會包含嵌套的身份衍生（Identity-derivation）與輔助項目引用。這會導致 libheif 在解碼影像時，建立兩個具有不同位元深度（Bit depth）的 Alpha 通道（Alpha plane，用於定義影像透明度的層）。
在處理過程中，縮放器僅根據第一個 8 位元的 Alpha 通道分配記憶體空間，但隨後卻將第二個 16 位元的樣本值寫入該緩衝區。由於 16 位元的數據量遠大於 8 位元，這導致約 16,384 位元組的數據超出了分配邊界並覆蓋了相鄰的記憶體空間，從而觸發記憶體損壞並可能被利用來執行任意程式碼。
由於此漏洞源自上游的 libheif 庫，在該庫發布正式修復版本前，Vercel 採取了較為激進的暫時方案：在最新的 Next.js 更新中直接關閉 AVIF 優化功能。開發者若在 next.config.js 中明確配置了 image/avif 格式，才會觸發此風險。
Windows 專屬的路徑遍歷漏洞
第二個漏洞（編號 CVE-2026-75604，CVSS 評分 9.0）則與伺服器的作業系統密切相關。該漏洞屬於路徑遍歷（Path Traversal），這是一種攻擊技術，允許攻擊者透過在輸入路徑中使用特殊字元（如 ../），跳出預設的資料夾限制，存取伺服器上不應被公開的敏感檔案。
此漏洞僅影響在 Windows 檔案系統上運行的 Next.js 應用程式，且需同時滿足使用 Pages Router 或 App Router 且未啟用快取組件（Cache Components）的條件。Linux 與 macOS 部署的伺服器不受此漏洞影響。Vercel 強調，對於在 Windows 上託管的受影響應用程式，目前沒有已知的臨時替代方案，唯一的解決辦法就是立即升級版本。
技術脈絡與安全趨勢
這次更新是 Vercel 自 2026 年 7 月啟動每月定期安全更新計畫後的第二次行動。Vercel 官方指出，隨著大型語言模型（LLM）輔助漏洞發現技術的普及，業界發現漏洞的速度正在快速提升。這意味著攻擊者與研究人員都能更高效地挖掘軟體中的弱點，因此框架開發商必須縮短修補週期，以應對日益增加的安全威脅。
回顧過去兩年，Next.js 頻繁出現嚴重漏洞。例如 2025 年 3 月曾出現允許繞過身份驗證檢查的中間件漏洞，以及 2025 年 12 月被披露的 React2Shell 反序列化漏洞（CVSS 評分 10.0），後者在公開後數小時內便被積極利用。
實務影響與限制
對於開發者而言，這次事件再次提醒了供應鏈安全的重要性。AVIF 漏洞顯示，即便 Next.js 本身代碼正確，其依賴的底層 C 函式庫（如 libheif）若存在記憶體管理問題，依然會將風險傳導至最上層的應用程式。
目前雖然有研究人員發布了 Python 版本的概念驗證（PoC）程式碼，證明可以觸發記憶體損壞，但尚未有報告顯示這兩個 8 月份的漏洞在現實環境中被大規模利用。然而，鑑於其 RCE 的高威脅等級，所有非 Vercel 託管的 Next.js 使用者應將此次升級視為最高優先級，以避免伺服器被非法接管。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。