Im August 2026 wurden zwei kritische Sicherheitslücken in Next.js offengelegt, die jeweils unauthentifizierte Remote Code Execution ermöglichen. Die erste Schwachstelle (GHSA-2xp9-vwfh-vxw4) liegt in der vorgelagerten Abhängigkeit libheif und wird ausgelöst, wenn die Image-Optimization-Funktion eine manipulierte AVIF-Datei verarbeitet. Die zweite Lücke (CVE-2026-75604 / GHSA-p293-qw3h-jr36) betrifft ausschließlich Windows-gehostete Next.js-Server und ist ausnutzbar in Anwendungen, die Pages Router oder App Router ohne Cache Components verwenden. Vercel reagierte auf die AVIF-Lücke, indem es die AVIF-Optimierung in seinem verwalteten Image-Optimization-Dienst vollständig deaktivierte – betroffene Bilder werden nun ungefiltert ausgeliefert, ohne den verwundbaren Verarbeitungspfad zu durchlaufen. Die Windows-Lücke trifft Vercels eigene Infrastruktur nicht, da deren Next.js-Laufzeitumgebung auf Linux basiert. Für selbstgehostete Instanzen stehen gepatchte Versionen für den 15.x- und den 16.x-Zweig bereit; für die Windows-Schwachstelle existiert kein Workaround, sodass ein sofortiges Upgrade zwingend erforderlich ist. In den gepatchten Releases wird AVIF-Bildoptimierung vorübergehend ausgesetzt, bis eine korrigierte libheif-Version verfügbar ist. Die AVIF-Lücke wurde vom Team Hacktron verantwortungsvoll gemeldet, die Windows-Lücke von den Forschern evolutionstorm und B0RI.