Sicherheitslage von Next.js 15: Welche Lücken 2026 gepatcht wurden – und warum künftige Patches nicht zugesagt sind

Ihr Team setzt eine auf Next.js basierende Unternehmenswebsite oder Web-Anwendung in Produktion. Am Morgen des 14. Oktober 2026 taucht im GitHub-Advisory-Feed ein roter Badge auf: CVSS kritisch, Remote Code Execution, betroffen alle Next.js-Versionen ab 10.0.0 bis einschließlich 15.5.27. Das ist kein hypothetisches Szenario – genau diese Advisory (GHSA-2464-fhr4-w9xw / CVE-2026-96889) wurde an diesem Tag veröffentlicht. Wer auf 15.5.27 lief, hatte in diesem Moment eine aktiv verwundbare Anwendung.

Dieser Artikel legt die Next.js-15.x-Sicherheitslage für das Jahr 2026 vollständig offen: welche Advisories erschienen sind, welche Schweregrade und Lückentypen sie abdecken, welche Versionen patchen – und was das Ende der Maintenance-Phase am 21. Oktober 2026 für den laufenden Betrieb bedeutet. Prozesse für das laufende Abhängigkeitsmanagement behandelt der Artikel DevSecOps für Webanwendungen gesondert; dieser Artikel konzentriert sich ausschließlich auf die konkrete Lage von Next.js 15.

Die kritischste Lücke des Jahres: CVE-2026-96889 und die Image Optimization API

Am 14. Oktober 2026 veröffentlichte Vercel die Advisory GHSA-2464-fhr4-w9xw zu CVE-2026-96889 und stufte sie als kritisch ein. Die Lücke liegt in der Image Optimization API: Bestimmte SVG-Dateien lösen bei der serverseitigen Bildverarbeitung eine unauthentifizierte Remote Code Execution aus – der Angreifer braucht keinen Account, keinen Session-Token, keine weitere Vorbedingung.

Betroffen sind alle Versionen >= 10.0.0 bis einschließlich <= 15.5.27. Gepatcht wurde in 15.5.28 (für den 15.x-Zweig) und in 16.4.1 (für den 16.x-Zweig). Wer die Image Optimization API nutzt und nicht sofort auf 15.5.28 aktualisieren konnte, findet im Advisory einen temporären Workaround: sharp in Version >= 0.35.5 einzubinden ändert den Bildverarbeitungspfad so, dass der verwundbare Codepfad nicht mehr erreichbar ist.

Am selben Tag erschien GHSA-p3m5-59mp-jv5r, ebenfalls gepatcht in 15.5.28. Diese Advisory ist mit hoch klassifiziert und betrifft den App Router: Über präparierte Server Actions lässt sich ein Denial of Service auslösen. Betroffen sind Versionen ab 13.0.0 bis 15.5.27. Zwei kritische bis hochgradige Lücken, ein Patch-Tag, ein Out-of-Band-Release außerhalb des regulären Release-Zyklus – das ist die Situation, die ein funktionierendes Dependency-Monitoring innerhalb von Stunden auflösen muss.

Alle 15.x-Advisories 2026 im Überblick

Die folgende Tabelle fasst alle identifizierten Security Advisories mit 15.x-Bezug zusammen (Stand: 23. Oktober 2026, Quelle: GitHub Security Advisories vercel/next.js). Alle aufgeführten Lücken sind im jeweils letzten 15.x-Release gepatcht.

Hinweis zu den September-Advisories: Die Patchversionen der beiden Cache-Poisoning-Lücken vom 30. September 2026 sind in den GitHub-Advisory-Daten zum Stand 23. Oktober 2026 im Versionsfeld nicht eindeutig ausgefüllt. Auf Basis der Release-Timeline ist 15.5.27 (erschienen 30. September 2026) wahrscheinlich, wurde aber nicht abschließend verifiziert. Wer auf 15.5.28 aktualisiert hat, ist in jedem Fall abgedeckt.

Was die Release-Frequenz über die Lage aussagt

Zwischen Mai und Oktober 2026 erschienen Security-Releases im Mai (15.5.16, 15.5.18), Juli (15.5.21), August (15.5.24, 15.5.25), September (15.5.26 am 22. September Out-of-Band, 15.5.27 am 30. September) und Oktober (15.5.28 am 14. Oktober Out-of-Band). Das sind mindestens acht Security-relevante Minor-Releases in sechs Monaten, mehrere davon außerhalb des regulären Zyklus.

Vercel hat laut Blog-Eintrag vom 13. Juli 2026 einen formalisierten Security-Release-Prozess eingeführt. Die hohe Frequenz zeigt nicht, dass Next.js unsicherer geworden ist – sie zeigt, dass das Framework aktiv auditiert wird und Lücken koordiniert geschlossen werden. Für Betreiber bedeutet das konkret: Ein Update-Intervall von mehreren Wochen reicht bei kritischen Lücken nicht aus. CVE-2026-96889 war am 14. Oktober öffentlich; wer das Patch nicht bis zum Abend desselben Tages eingespielt hatte, lief eine kritische RCE-Lücke in einer produktiven Anwendung.

Warum der 21. Oktober 2026 eine Zäsur ist

Next.js folgt einer Support-Policy, die für jede Major-Version zwei Phasen kennt: Active LTS (aktuelle Major, erhält Features, Bugfixes und Security-Patches) und Maintenance LTS (vorherige Major, erhält nur kritische Bugfixes und essentielle Sicherheitsupdates). Die Maintenance-Phase dauert zwei Jahre ab dem Erst-Release der jeweiligen Major.

Next.js 15 wurde am 21. Oktober 2024 veröffentlicht. Zwei Jahre später, am 21. Oktober 2026, endet die Maintenance-LTS-Phase rechnerisch. Vercel hat dieses Enddatum auf der Support-Policy-Seite nicht ausdrücklich als Datum kommuniziert; die Tabelle dort listete Next.js 15 am 23. Oktober 2026 weiterhin unter „Supported versions". Die Drittquelle endoflife.date führte 15.x mit Security-Support-Ende „21 Oct 2026". Ein offizieller Vercel-Blogpost oder eine Release-Note, die das Ende explizit verkündet, wurde nicht gefunden.

Was die Policy ausdrücklich sagt: Nach dem Ende der Maintenance-Phase sind keine weiteren Sicherheitsupdates zugesagt. Die Policy enthält jedoch einen Vorbehalt: „In rare circumstances, depending on the severity of the underlying bug, we will patch versions of Next.js that are outside of our LTS policy." Ein künftiger 15.x-Backport für eine sehr schwerwiegende Lücke ist also möglich – aber nicht versprochen.

Der Begriff „End of Life" stammt von Drittquellen (z. B. endoflife.date), nicht von Vercel. Vercels eigene Terminologie lautet „Unsupported versions". Das ändert nichts an der praktischen Konsequenz, ist aber wichtig für interne Kommunikation und Risikoeinschätzungen.

Was das für den Status am 23. Oktober 2026 bedeutet

• Wer am 23. Oktober 2026 auf 15.5.28 läuft, ist gegen alle bis zum 14. Oktober 2026 bekannten und in den Advisories gelisteten Lücken geschützt.
• Zum Stand 23. Oktober 2026 ist keine offene, nur in 16.x behobene Lücke bekannt, die 15.x betrifft und ungepatcht wäre.
• Für künftig entdeckte Lücken sind laut Policy keine 15.x-Patches mehr zugesagt. Das Risiko liegt nicht im heutigen Stand, sondern in der Zukunft.

Die aktuelle Hauptversion: Next.js 16

Seit dem 21. Oktober 2025 (Blogpost) bzw. 22. Oktober 2025 UTC (npm-Publish) ist Next.js 16 die Active-LTS-Version. Die aktuelle stabile Version zum Stand 23. Oktober 2026 ist 16.4.2, erschienen am 15. Oktober 2026.

Für Teams, die eine Migration erwägen, sind die Breaking Changes in Next.js 16 substanziell. Die wichtigsten:

• Turbopack als Standard: next dev und next build nutzen Turbopack; eine vorhandene webpack-Konfiguration lässt den Build fehlschlagen. Ausweichoption: --webpack-Flag oder explizites --turbopack.
• Async-only API: Synchroner Zugriff auf cookies(), headers(), draftMode(), params und searchParams ist vollständig entfernt. Betroffen sind auch Metadata-Routen wie opengraph-image und sitemap.
• middleware → proxy: Die Middleware-Datei und der Export sind deprecated; proxy läuft ausschließlich auf Node.js, nicht mehr auf der Edge Runtime.
• next lint entfernt: ESLint-Integration läuft künftig über die ESLint-CLI direkt; Flat Config ist Standard.
• Node.js-Mindestversion: Node.js 20.9.0 ist Pflicht; Node 18 wird nicht mehr unterstützt.
• Image-Defaults geändert: minimumCacheTTL steigt von 60 Sekunden auf 4 Stunden, qualities ist standardmäßig nur [75], lokale IPs werden blockiert.

Vercel stellt Codemods bereit, die einen Großteil der Migration automatisieren: npx @next/codemod@canary upgrade latest stellt next.config um, migriert die Lint-Konfiguration und entfernt unstable_-Präfixe. Für synchronen API-Zugriff gibt es den separaten Codemod npx @next/codemod@canary next-async-request-api .. Eine vollständige und sichere Upgrade-Anleitung ist Thema des geplanten Folgeartikels in dieser Serie; die Breaking Changes sind hier aufgeführt, damit die Migrationsaufwand-Schätzung realistisch ausfällt.

Praxisbeispiel: Was ein ungepatchtes System konkret bedeutet

Angenommen, ein mittelständisches Unternehmen betreibt eine Next.js-Buchungsplattform für Freizeitdienstleistungen. Die Plattform nutzt die eingebaute Image Optimization API, um Anbieter-Logos und Veranstaltungsbilder zu verkleinern. Die Anwendung läuft auf 15.5.27 – zuletzt aktualisiert im September 2026.

Am 14. Oktober 2026 erscheint CVE-2026-96889. Ein präpariertes SVG-Bild, das über einen öffentlichen Upload-Endpoint in die Bildoptimierung geleitet wird, löst serverseitig Remote Code Execution aus. Der Angreifer braucht weder Login noch spezielles Wissen über die Anwendung – die Lücke ist in der Middleware des Frameworks, nicht in der Geschäftslogik. Im schlimmsten Fall bedeutet das: Zugriff auf den Server, auf Umgebungsvariablen (Datenbankpasswörter, API-Keys), auf gespeicherte Nutzerdaten.

Das ist keine konstruierte Bedrohung. Der Workaround – sharp >= 0.35.5 – lässt sich in wenigen Minuten einbauen und deployen, ohne die Anwendung zu verändern. Das Update auf 15.5.28 selbst ist ein npm update next mit anschließendem Deployment. Der zeitkritische Faktor ist allein das Monitoring: Wer die Advisory nicht innerhalb von Stunden sieht, reagiert zu spät.

Was nach dem Support-Ende konkret zu tun ist

Kurzfristig: Patch-Stand sichern

Der erste Schritt ist die Überprüfung, auf welcher Next.js-Version jede produktive Anwendung läuft. Das ist trivial für kleine Teams mit einer Anwendung und wird schnell unübersichtlich bei Unternehmen mit mehreren Projekten, unterschiedlichen Entwicklungspartnern und gewachsenen Codebases. npm list next oder yarn why next liefern die installierte Version; die GitHub-Advisory-Seite von vercel/next.js zeigt, welche Versionen betroffen sind.

Wer auf 15.5.28 steht, ist gegen alle bekannten Lücken geschützt. Wer auf einer älteren 15.x-Version steht, sollte das Update sofort priorisieren – die Advisory-Liste zeigt, dass kritische Lücken nicht selten sind.

Mittelfristig: Entscheidung Maintenance vs. Migration

Die eigentliche strategische Frage nach dem 21. Oktober 2026 lautet: Bleibt die Anwendung auf 15.5.28, solange keine neue Lücke bekannt wird, oder wird auf Next.js 16 migriert?

Für den Verbleib auf 15.5.28 spricht: Zum heutigen Tag ist die Anwendung geschützt, und Vercel hat sich einen Ausnahme-Backport für extrem schwerwiegende Lücken offen gehalten. Der Migrationsaufwand auf Next.js 16 ist real – insbesondere bei Anwendungen mit viel Middleware-Logik, komplexen webpack-Konfigurationen oder synchronem Cookie-/Header-Zugriff.

Gegen den Verbleib spricht: Das Risiko wächst mit der Zeit. Neue Lücken werden entdeckt werden; ob Vercel einen 15.x-Backport liefert, ist ungewiss. Wer in sechs Monaten noch auf 15.5.28 läuft, läuft möglicherweise ungepatchte Lücken, ohne es zu wissen. Die Frequenz der Lücken 2026 – dreizehn Advisories in knapp anderthalb Jahren – legt nahe, dass die Entdeckungsrate nicht sinken wird.

Ein vernünftiger Zeitplan für die meisten Anwendungen: Patch-Stand auf 15.5.28 sofort sichern; Migration auf Next.js 16 im nächsten regulären Entwicklungszyklus planen, spätestens innerhalb von drei bis sechs Monaten.

Dauerhaft: Advisory-Monitoring einrichten

Das eigentliche Problem ist nicht das Patchen selbst, sondern das Erkennen. GitHub Security Advisories für vercel/next.js lassen sich per RSS oder über GitHub's Dependabot-Alerts abonnieren. Wer Dependabot in den Repository-Einstellungen aktiviert, bekommt bei einer neuen Advisory automatisch einen Pull Request mit dem Versionsupdate. Das ist die Mindestanforderung für jede produktive Next.js-Anwendung.

Wer keinen internen Entwickler hat, der diese Alerts bewertet und zeitnah reagiert, braucht einen externen Partner, der diese Aufgabe übernimmt – denn eine Advisory allein nützt nichts, wenn niemand sie liest oder einordnet.

Was SW Business Solutions dabei übernimmt

SW Business Solutions übernimmt für Next.js-basierte Anwendungen das laufende Sicherheitsmonitoring: Wir beobachten die Advisories, bewerten Schweregrade und Betroffenheit für die konkrete Anwendung, spielen Patches im Rahmen eines vereinbarten Wartungsrhythmus ein und dokumentieren den Patch-Stand nachvollziehbar. Bei Out-of-Band-Releases wie CVE-2026-96889 reagieren wir außerplanmäßig und priorisieren kritische Lücken.

Das ist kein Produkt mit Pauschalpreis – der Aufwand hängt von der Anwendungsgröße, der Deployment-Infrastruktur und dem vereinbarten Reaktionszeitfenster ab. Was wir konkret tun können: den aktuellen Patch-Stand prüfen, eine Einschätzung zum Migrationsaufwand auf Next.js 16 geben und ein passendes Monitoring-Setup einrichten. Wer mehr über die übergreifenden DevSecOps-Prozesse wissen möchte, findet die Grundlagen im Artikel DevSecOps für Webanwendungen.

Einen ersten Anhaltspunkt zur allgemeinen IT-Sicherheitslage Ihrer Systeme liefert der Artikel Next.js 15 End of Life: Was das Support-Ende für Unternehmen bedeutet – dort gehen wir auf die organisatorischen und strategischen Konsequenzen des Support-Endes ausführlicher ein.

Entscheidungshilfe: Wann ist welche Maßnahme sinnvoll?

Der nächste konkrete Schritt

Prüfen Sie heute, auf welcher Next.js-Version Ihre produktiven Anwendungen laufen. Wenn Sie mehrere Projekte haben oder sich nicht sicher sind, ob der Patch-Stand stimmt: Wir übernehmen diese Prüfung, liefern eine klare Einschätzung und richten auf Wunsch das laufende Security-Monitoring ein.

Jetzt Erstgespräch buchen und Patch-Stand prüfen lassen