Tim Next.js merilis pembaruan keamanan pada 3 November 2026 yang menutup tujuh celah di framework React milik Vercel itu. Perbaikannya tersedia di Next.js 16.4.5 (Active LTS) dan 15.5.29 (Maintenance LTS). Tim menilai satu celah berkeparahan tinggi dan enam lainnya sedang. Pengumuman resmi tidak menyebut adanya serangan nyata, dan panduan Netlify yang terbit di hari yang sama juga tidak melaporkannya.
Apa yang diperbaiki
Sebagian besar celah menyangkut fitur Cache Components. Yang paling berat adalah CVE-2026-119790 (GHSA-mfr8-8qww-v76h), yang bisa membuat isi cache satu penyewa sampai ke penyewa lain. Syaratnya, fungsi publik use cache dipanggil langsung sekaligus dari dalam unstable_cache, dan fungsi itu membaca root parameter seperti ID tenant. Saat cache masih dingin, panggilan lewat unstable_cache bisa menerima hasil permintaan lain tanpa memeriksa parameternya, lalu hasil itu disajikan ke pemanggil berikutnya.
Dua celah cache lain bekerja dengan pola mirip. CVE-2026-119351 menyangkut fungsi use cache bersarang yang membaca root parameter, sehingga konten untuk satu situs atau bahasa bisa tampil di situs atau bahasa lain. CVE-2026-119349 muncul ketika argumen biner yang berbeda menghasilkan identitas cache yang sama, sehingga hasil milik seorang pengguna bisa diterima pengguna lain.
Empat celah sisanya punya syarat yang lebih sempit. CVE-2026-119350 membuat penyerang tanpa login bisa meracuni shell halaman bersama pada aplikasi self-hosted yang memakai next start, dengan hasil konten salah atau 404 yang menetap. CVE-2026-119348 bisa menukar respons antar klien di balik reverse proxy HTTP/1.1 tertentu. CVE-2026-119346 membuka nilai cookie, termasuk yang bertanda HttpOnly, lewat header internal x-middleware-set-cookie pada rute Edge, dan hanya bisa dibaca JavaScript dari origin yang sama. CVE-2026-119347 melewati penolakan SVG pada Image Optimization, tetapi tim Next.js menyatakan temuan ini belum terbukti memicu XSS maupun eksekusi kode.
Langkah yang perlu diambil
Pengembang perlu menaikkan versi ke 16.4.5 untuk cabang 16 atau ke 15.5.29 untuk cabang 15, lalu melakukan deploy ulang. Aplikasi multi-tenant, SaaS, dan situs yang menampilkan konten berbeda per pengguna paling perlu bergegas, karena celah tertingginya menyentuh pemisahan data antar penyewa.
Pengguna Netlify perlu memastikan adapter @netlify/plugin-nextjs berada di versi 5.16.6. Netlify juga mengingatkan bahwa deploy baru hanya menghapus cache pada konteks deploy yang sama, jadi production, branch deploy, dan Deploy Preview harus dibersihkan sendiri-sendiri. Deploy publik lama yang masih rentan sebaiknya dihapus.
Tim yang membangun ulang image kontainer sebaiknya sekalian memeriksa runtime-nya, karena Node.js punya celah Brotli yang sudah masuk daftar KEV CISA. Bagi yang belum bisa naik versi hari ini, periksa dulu apakah aplikasi memakai Cache Components atau use cache. Jika tidak, tiga celah cache di atas tidak berlaku, tetapi celah cookie Edge, respons terkompresi, dan SVG tetap perlu ditutup lewat pembaruan.
Sumber: Next.js, November 2026 Security Release dan Netlify, Next.js security vulnerabilities. Gambar: Netlify.