Next.js Güvenlik güncellemesiKritik

Next.js güvenlik güncellemeleri yayımlandı

Tarih: 30 Eylül 2026 · 21:00 TSİ
Güvenlik: 6 CVE

Next.js için güvenlik güncellemeleri v16.3.8 (Active LTS) ve v15.5.27 (Maintenance LTS) sürümlerinde yayımlandı. Güncellemeler, görsel optimizasyonu, önbellek ve geliştirme sunucusuyla ilgili güvenlik açıklarını gideriyor.

Kaynak: Vercel · Next.js blogu (yeni sekmede açılır)Aynı türden en yeni kayıt: Next.js'e 3 Kasım 2026'da güvenlik güncellemesi geliyor · 27 Ekim 2026

Ne değişti?

Image Optimization sırasında izin verilen uzaktaki bir URL'nin sunucu tarafında istek sahteciliğine yol açabilmesi giderildi; images.remotePatterns yapılandırılmamış uygulamalar bu açıktan etkilenmiyor.
SSG ve ISR sayfalarının önbellek içeriğinin farklı bir rotadan değiştirilmesine yol açan açıklar giderildi; bu açıklardan biri self-hosted Pages Router uygulamalarını etkiliyor, Vercel'de dağıtılan uygulamaları etkilemiyor.
webpack ile derlenen App Router uygulamalarında metadata image rotalarının dynamicParams seçeneğini yok sayarak bilgi açığa çıkarabilmesi giderildi; Turbopack ile derlenen uygulamalar etkilenmiyor.
Cache Components veya experimental.useCache kullanan ve önbelleğe alınan işlevleri taslak içeriğe bağlı olan sitelerde Draft Mode içeriğinin normal yanıtlara sızmasına yol açan açık giderildi.
next dev geliştirme sunucusundaki Model Context Protocol uç noktasının hassas geliştirme verilerini açığa çıkarabilmesi giderildi; üretim dağıtımları bu uç noktayı sunmuyor.

Kimleri etkiliyor?

Next.js uygulamalarında Image Optimization kullananlar; images.remotePatterns yapılandırılmamışsa bu açık geçerli değil.
Self-hosted Pages Router uygulamalarında SSG veya ISR sayfalarını kullananlar.
next dev kullanan geliştiriciler.

Neden önemli?

Uygulamaların güvenliğini korumak için Next.js bağımlılıklarının yamalanması isteniyor.

Kaynakta listelenen güvenlik açıkları · 6 CVE

CVE-2026-94483 CVE-2026-94543 CVE-2026-94484 CVE-2026-94485 CVE-2026-94544 CVE-2026-94486

Bağlam · Next.js'in kayıtlarından

Önceki 30 gün: bu kayıtla birlikte 6 değişiklik
Aynı türden önceki: Next.js, 30 Eylül 2026'da güvenlik sürümü yayımlayacak · bu kayıttan 7 gün önce (23 Eylül 2026)
Güvenlik açığı: resmî kaynakta 6 CVE kimliği listeleniyor
Önceki 90 günde bu tür: bu kayıtla birlikte 4 değişiklik

Künye

Ürün: Next.js · Programlama Dilleri ve Çatılar · Vercel
Değişiklik tarihi: 30.09.2026 21:00 TSİ
Tespit: 30.09.2026 19:55 TSİ · Bildirgeç tarafından
Resmî kaynak: Vercel · Next.js blogu (yeni sekmede açılır)nextjs.org/blog/september-2026-security-release
Türkçe metin: Yapay zekâ yardımıyla yazıldı; her sayı, sürüm ve ad yayından önce kaynakta otomatik olarak denetlendi.
Kayıt no: QRJYVP0NFS

Next.js'in bütün kayıtları Eylül 2026 arşivi