Next.js Güvenlik Güncellemeleri: Hemen Ne Yapmalı?

Next.js Güvenlik Güncellemeleri: Hemen Ne Yapmalı?

Son güncelleme: 5 Kasım 2026.

Next.js için yoğun bir sonbahar oldu. 14 Ekim 2026'da framework, kimlik doğrulama gerektirmeden uzaktan kod çalıştırmaya izin verebilen iki kritik açığı ve yüksek seviyeli bir hizmet engelleme (DoS) açığını kapatan plan dışı bir sürüm yayınladı. Üç haftadan kısa bir süre sonra, 3 Kasım'da planlı bir sürüm, çoğu önbellekle ve kullanıcılar arasında veri sızıntısıyla ilgili, orta seviyeli yedi açığı daha düzeltti. İki sürüm arasında önemli bir bağlantı var: Ekim açıklarını düzelten 16.4.1 sürümü Kasım düzeltmelerini içermiyor. Next.js'i canlı ortamda çalıştırıyorsanız bugün olmanız gereken sürümler 16.4.5 veya 15.5.29. Bu yazı her sürümün neleri düzelttiğini ve paketi güncellemenin ötesinde başka neler yapmanız gerektiğini açıklıyor.

Ekim Sürümü: İki Kritik Uzaktan Kod Çalıştırma Açığı

14 Ekim sürümü, React ile koordineli olarak ilgili üst bağımlılık sorunlarının düzeltmeleri dahil üç sorunu ele aldı:

• use cache fonksiyonlarında uzaktan kod çalıştırma (kritik). Cache Components kullanan App Router uygulamalarında, tipli diziler (typed array) döndüren önbellekli fonksiyonları içeren belirli koşullar altında Next.js 16.0.0 ile 16.4.0 arasını etkiliyor. Yükseltme dışında geçici bir çözümü yok.
• SVG işleme üzerinden uzaktan kod çalıştırma, CVE-2026-96889 (kritik). Next.js'in görsel optimizasyonu için kullandığı sharp ile birlikte gelen SVG kütüphanesi librsvg'deki bir bellek güvenliği hatası. Next.js bu açığa CVSS ölçeğinde 9.5 puan veriyor. Güvenilmeyen SVG girdisi işlendiğinde, glibc tabanlı Linux sistemlerde Next.js 10.0.0 ile 15.5.27 ve 16.0.0 ile 16.4.0 arasını etkiliyor.
• Server Actions'ta hizmet engelleme (yüksek). En az bir Server Action içeren App Router uygulamalarında Next.js 13 ile 16.4.0 arasını etkiliyor. Pages Router uygulamaları etkilenmiyor.

Bu sorunlar Next.js 16.4.1 ve 15.5.28'de düzeltildi. Sürüm yayınlandığında gerçek ortamda istismar edildiğine dair kamuya açık bir rapor yoktu; ancak araştırmacılar sharp tarafındaki düzeltmenin Eylül sonundan beri açık olduğunu ve saldırganlara inceleme fırsatı verdiğini belirtti.

Kasım Sürümü: Yedi Önbellek ve Veri İfşası Açığı

3 Kasım sürümü orta seviyeli yedi açığı düzeltti. Tek tek bakıldığında uzaktan kod çalıştırma kadar çarpıcı değiller, ancak birkaçı bir kullanıcının verisini başka bir kullanıcıya gösterebiliyor; bu da oturum açan kullanıcıları olan her uygulama için ciddi bir sorun. Düzeltilen sorunlar şunları içeriyor:

• Cache Components kullanan uygulamalarda iç içe use cache fonksiyonlarında root parametre değerleri arasında önbellek sızıntısı ve unstable_cache() üzerinden bilgi ifşası.
• Önbellekli fonksiyonlar Blob gibi ikili (binary) argümanlar aldığında kullanıcılar arası önbellek ifşası ve önbellek zehirlenmesi.
• Ortak fallback shell'lerinin önbellek zehirlenmesi; bu durum geçerli sayfaların önbellekten 404 dönmesine yol açabiliyor.
• Edge runtime route handler'larında ve API route'larında HttpOnly cookie'lerin ifşa olması.
• dangerouslyAllowSVG false olarak ayarlandığında görsel optimizasyondaki SVG reddinin atlatılması.
• Belirli reverse proxy'lerin arkasındaki kendi sunucusunda barındırılan App Router uygulamalarında istemciler arası yanıt enjeksiyonu.

Yedisi de Next.js 16.4.5 ve 15.5.29'da düzeltildi. Düzeltmeler 16.4 ve 15.5 dalları için yayınlandı; daha eski ana sürümlerdeki uygulamaların bu düzeltmeleri almak için desteklenen bir dala yükseltmesi gerekiyor.

Kimler Harekete Geçmeli?

En güvenli varsayım, canlıdaki her Next.js uygulamasının yükseltilmesi gerektiğidir; ancak bazı kurulumlar daha fazla risk taşıyor. App Router'ı Cache Components ve use cache ile kullanan uygulamalar, iki sürümdeki en fazla sorundan etkileniyor. Kullanıcıların yüklediği görselleri veya SVG'leri işleyen uygulamalar kritik görsel açığına maruz kalıyor. HttpOnly cookie ayarlayan Edge route handler'ları çalıştıran uygulamalar ve reverse proxy arkasındaki kendi sunucusunda barındırılan kurulumlar ise Kasım'daki belirli sorunlardan etkileniyor.

Yönetilen bir platformda olmak sizi otomatik olarak korumaz. Netlify gibi barındırma sağlayıcıları platforma özel rehberler yayınladı; bazı durumlarda düzeltmenin tam etkili olması için platform adaptörünün de güncellenmesi veya önbelleklerin temizlenmesi gerekiyor.

Yükseltme Nasıl Doğru Yapılır?

• Paketi yükseltin. next paketini 16.4.5'e, 15.x dalındaysanız 15.5.29'a ve advisory'lerde önerilen eşleşen React sürümlerine güncelleyin.
• Yeniden derleyip dağıtın. Görsel optimizasyon düzeltmesi uygulamanıza derleme sırasında güncellenen sharp bağımlılığı aracılığıyla ulaşır; yani yalnızca package.json değişikliği değil, yeni bir derleme gerekir.
• Gerçekte neyin yayına çıktığını doğrulayın. Lock dosyasını kontrol edin ve dağıtılan derlemedeki sürümleri doğrulamak için npm ls sharp ve npm ls next komutlarını çalıştırın.
• Platform adaptörlerini güncelleyin. Sağlayıcınız Next.js için bir adaptör veya eklenti kullanıyorsa, sağlayıcının advisory'sinde önerilen sürümde olduğundan emin olun.
• Uzun süre çalışan süreçleri yeniden başlatın. Kendi sunucunuzda barındırıyorsanız yeni kodun yüklenmesi için tüm Node.js süreçlerini yeniden başlatın.

Yükseltmenin Ötesinde: Önbellekler, Önizlemeler ve Tarayıcılar

Kasım açıklarının birkaçı önbellek zehirlenmesi ve ifşasıyla ilgili olduğu için yükseltme, halihazırda önbelleğe alınmış verileri kaldırmaz. Düzeltmeyi dağıttıktan sonra, zehirlenmiş veya sızmış yanıtların yeniden sunulmaması için önizleme ve branch dağıtımlarınınkiler dahil CDN ve uygulama önbelleklerinizi temizleyin.

Eski önizleme ve branch dağıtımları kolayca unutulan başka bir risktir. Çoğu zaman herkese açık kalırlar ve silinene kadar açıklı sürümü çalıştırmaya devam ederler; artık ihtiyacınız olmayanları kaldırın. Son olarak bazı advisory'lerin CVE numarası yerine GitHub advisory kimlikleriyle yayınlandığını bilin. Yalnızca CVE'lere dayanan güvenlik tarayıcıları bunları işaretlemeyebilir; temiz bir tarama sonucuna güvenmek yerine Next.js ve React güvenlik advisory'lerini doğrudan kontrol edin.

Hemen Yükseltemiyorsanız

Eksiksiz tek çözüm yükseltmedir, ancak bu süreçte risk bir miktar azaltılabilir. Görsel açığı için sharp paketini 0.35.5 veya üzerine sabitlemek, SVG çözümlemeyi engellemek ve gerekmediği yerde dangerouslyAllowSVG ayarını kapatmak riski düşürür. Node.js'i mümkün olan en düşük yetkiyle çalıştırmak ve görsel işlemeyi uygulama sırlarından izole tutmak, bir açık istismar edilirse oluşacak hasarı sınırlar. Bunları kısa vadeli önlemler olarak görün ve yükseltmeyi en kısa sürede planlayın.

Güvenlik Sürümlerini Rutin Hale Getirmek

Next.js artık planlı güvenlik sürümlerini önceden duyuruyor ve kritik sorunlar için plan dışı düzeltmeler yayınlıyor. Bunu iyi yöneten ekiplerin birkaç ortak özelliği var: otomatik bağımlılık güncellemeleri, hızlı yükseltme için güven veren bir test paketi, canlı ortamı yansıtan bir test ortamı ve advisory'leri takip etmekten sorumlu biri. Bu temel üzerinde bir güvenlik sürümü, acil durum olmaktan çıkıp rutin bir öğleden sonra işine dönüşür.

Sıkça Sorulan Sorular

Şu an hangi Next.js sürümünde olmalıyım?

16.x dalı için Next.js 16.4.5, 15.x dalı için 15.5.29. Bu sürümler hem 14 Ekim düzeltmelerini hem de 3 Kasım 2026'da yayınlanan yedi düzeltmeyi içeriyor.

Ekim'de Next.js 16.4.1'e yükselttim. Güvende miyim?

Hayır. 16.4.1 sürümü Ekim açıklarını düzeltti, ancak 3 Kasım'da düzeltilen yedi sorunu içermiyor. Tekrar 16.4.5'e, 15.x dalındaysanız 15.5.29'a yükseltmeniz gerekiyor.

CVE-2026-96889 nedir?

CVE-2026-96889, Next.js görsel optimizasyonunun kullandığı SVG işlemede bulunan, sharp kütüphanesiyle birlikte gelen librsvg'deki bir bellek güvenliği hatasından kaynaklanan kritik bir uzaktan kod çalıştırma açığıdır. Güvenilmeyen SVG girdisi işleyen glibc tabanlı Linux sistemleri etkiliyor ve Next.js 16.4.1, 15.5.28 ve sonrasında düzeltildi.

Next.js 14 ve daha eski sürümler etkileniyor mu?

Görsel açığı ve Server Actions hizmet engelleme açığı gibi bazı sorunlar eski sürümleri de etkiliyor. Düzeltmeler 15.5 ve 16.4 dalları için yayınlandı; bu yüzden daha eski ana sürümlerdeki uygulamalar desteklenen bir dala yükseltmeli.

Yükseltmeden sonra önbelleği temizlemem gerekir mi?

Uygulamanız önbellek kullanıyorsa evet. Kasım açıklarının birkaçı önbellek zehirlenmesi veya önbellekteki verilerin kullanıcılar arasında sızmasıyla ilgili ve yükseltme, halihazırda önbelleğe alınmış yanıtları kaldırmıyor. Düzeltmeyi dağıttıktan sonra CDN ve uygulama önbelleklerini temizleyin.

Vercel veya Netlify'daki uygulamalar otomatik olarak korunuyor mu?

Tamamen değil. Barındırma platformları bazı sorunları altyapı seviyesinde hafifletebilir, ancak yine de Next.js'i yükseltmeniz, yeniden dağıtmanız ve adaptör güncellemesi veya önbellek temizleme içerebilecek platform rehberini izlemeniz gerekiyor.

Pages Router etkileniyor mu?

Server Actions hizmet engelleme açığı ve Cache Components sorunları gibi bazı açıklar App Router'a özgü. Görsel optimizasyon açığı ise router'dan bağımsız olarak uygulamaları etkileyebilir. Her durumda yükseltme öneriliyor.

Sonuç

Üç haftada iki Next.js güvenlik sürümü, modern framework'lerin aktif bakım gerektirdiğini hatırlatıyor. 16.4.5 veya 15.5.29'a yükseltin, güncellenen görsel kütüphanelerinin dahil olması için yeniden derleyin, çözümlenen sürümleri doğrulayın, önbellekleri temizleyin ve eski önizleme dağıtımlarını kaldırın. Bir Next.js uygulamasını güvenle yükseltmek, önbellek ve güvenlik yapılandırmasını gözden geçirmek ya da güvenilir bir bakım süreci kurmak için yardıma ihtiyacınız varsa, her gün Next.js ile çalışan ekibimiz bir sonraki sürümün önünde kalmanıza yardımcı olabilir.