Next.js, due patch critiche per RCE: il divario tra cloud managed e self-hosted

Vercel ha rilasciato il 25 agosto 2026 due patch di sicurezza critiche per Next.js, framework con oltre 45 milioni di download settimanali su npm, in risposta a vulnerabilità che consentono esecuzione remota di codice senza autenticazione. La combinazione di gravità elevata, assenza di workaround per una delle due falle e la frammentazione dell'hosting — protetto automaticamente sul cloud Vercel, vulnerabile su server self-hosted — rende l'incidente un caso studio sulla distribuzione del rischio nelle supply-chain dei framework moderni.

La falla Windows: path traversal senza via di scampo

La vulnerabilità CVE-2026-75604, classificata CWE-22 "Improper Limitation of a Pathname to a Restricted Directory", colpisce applicazioni Next.js che utilizzano Pages e App router in assenza del Cache Component, quando il server risiede su macchine con filesystem Windows. La condizione di path traversal consente a un attaccante di raggiungere directory arbitrarie e, secondo l'advisory GitHub Security Lab primaria, di ottenere esecuzione remota di codice.

La specificità del filesystem Windows è determinante: Vercel conferma che il runtime Linux del proprio hosting managed non è affetto. Questo dettaglio tecnico, apparentemente rassicurante per la piattaforma cloud, trasforma la vulnerabilità in una minaccia selettiva e massiva per l'ecosistema self-hosted su Windows Server — infrastruttura ancora largamente diffusa in ambienti enterprise.

L'assenza di workaround documentata nell'advisory GHSA-p293-qw3h-jr36 elimina qualsiasi margine di manovra per i gestori di sistemi affetti. L'unica via indicata è l'aggiornamento immediato, una condizione che pone pressione operativa su team che devono conciliare la sicurezza con i cicli di rilascio esistenti.

"There is no known workaround for affected windows-hosted applications. You should upgrade immediately if your server is hosted on Windows" — GitHub Security Advisory GHSA-p293-qw3h-jr36

Il vettore AVIF: quando l'ottimizzazione immagine diventa arma

La seconda vulnerabilità, tracciata come GHSA-2xp9-vw3h-vxw4, insedia il proprio meccanismo di attacco nell'elaborazione di immagini AVIF attraverso l'Image Optimization API di Next.js. Il codice malevolo è innescato dal parsing di un file AVIF costruito ad arte, con la falla radicata nella libreria upstream libheif utilizzata da sharp, il popolare motore di elaborazione immagini.

Il vettore immagine è particolarmente insidioso perché sfrutta una superficie di attacco tipicamente considerata sicura: le API di ottimizzazione media sono esposte di default in numerosi deployment Next.js e non richiedono autenticazione per l'elaborazione di risorse pubbliche. La dipendenza da una libreria esterna introduce inoltre una catena di responsabilità complessa, con Vercel che segnala la condizione come gestita fino alla disponibilità di una versione corretta di libheif.

Per questa seconda falla esiste una mitigazione parziale: la disabilitazione dell'ottimizzazione AVIF riduce il rischio fino all'applicazione della patch. Vercel ha implementato questa contromisura automaticamente sulla propria piattaforma managed, mentre i deployment self-hosted devono attuarla manualmente.

Il divario di protezione: cloud managed contro self-hosted

L'analisi dell'advisory vendor primaria rivela una discontinuità strutturale nella distribuzione del rischio. Per le applicazioni ospitate su Vercel, nessuna azione è richiesta: il runtime Linux esclude l'exploitabilità di CVE-2026-75604, e l'ottimizzazione AVIF è già disabilitata a livello di piattaforma per la seconda falla. La protezione è trasparente e automatica.

Per i deployment self-hosted, invece, la responsabilità ricade interamente sul team di infrastruttura. L'aggiornamento manuale a Next.js 15.5.24 o 16.3.3 è obbligatorio per entrambe le vulnerabilità, con la variante aggiuntiva della disabilitazione AVIF come tappa intermedia per la falla libheif. La frammentazione dell'hosting — tra cloud managed, on-premise, VPS e ambienti ibridi — genera così una superficie di attacco non uniforme, dove la stessa versione del framework può essere protetta o esposta a seconda del contesto operativo.

Questo pattern non è nuovo nelle supply-chain dei framework JavaScript, ma la combinazione di RCE non autenticato, assenza di workaround e vettore file immagine ne amplifica la rilevanza per la governance del rischio. I CISO devono ora mappare non solo la versione di Next.js in uso, ma anche l'intero stack di hosting sottostante per determinare l'esposizione effettiva.

"Applications hosted on Vercel are protected. No upgrades, configuration changes, or redeploys are required" — Vercel Changelog

Cosa fare adesso

• Aggiornare immediatamente a Next.js 15.5.24 o 16.3.3 tutti i deployment self-hosted, con priorità assoluta per i server Windows esposti a CVE-2026-75604.
• Disabilitare l'ottimizzazione AVIF nei deployment self-hosted non ancora aggiornati, come mitigazione intermedia per la falla GHSA-2xp9-vw3h-vxw4 fino all'applicazione della patch.
• Verificare la piattaforma di hosting: i deployment su Vercel sono protetti automaticamente, mentre qualsiasi ambiente self-hosted — inclusi container Docker su host Windows — richiede intervento manuale.
• Monitorare la disponibilità di libheif: la dipendenza upstream non è ancora corretta secondo quanto dichiarato da Vercel; pianificare un nuovo ciclo di patching quando la libreria riceverà update.

La risposta operativa: virtual patch e advisory incrociate

Fastly ha rilasciato un virtual patch per CVE-2026-75604, disponibile agli account della propria piattaforma, confermando la presa di coscienza operativa della minaccia oltre il perimetro del vendor. Questa convergenza tra advisory primarie GitHub, comunicazione vendor Vercel e intervento di terze parti sul fronte della mitigazione network-level indica che l'ecosistema di sicurezza ha riconosciuto rapidamente l'impatto potenziale, anche in assenza di exploitation confermata in the wild o di proof-of-concept pubblici.

La disponibilità di fonti convergenti — senza conflitti numerici rilevanti, ma con una nota di incertezza sul CVSS 9.5 della falla AVIF che deriva solo da fonte editoriale secondaria — consente una valutazione solida del rischio. Il record CVE ufficiale per CVE-2026-75604 risulta ancora in stato reserved, con dettagli non popolati dal CNA al momento della redazione.

L'identificatore CVE per la falla AVIF non risulta presente nelle fonti primarie estratte, che utilizzano esclusivamente il codice GHSA-2xp9-vw3h-vxw4. Questo limite non riduce la gravità della vulnerabilità, ma segnala un punto di incompleta maturazione nella catena di disclosure che potrebbe rallentare la correlazione automatica nei sistemi di vulnerability management.

Perché la frammentazione dell'hosting amplifica il rischio

Il caso Next.js di agosto 2026 illustra una dinamica emergente nelle supply-chain dei framework moderni: la sicurezza non dipende più solo dal codice, ma dalla combinazione di codice, piattaforma e configurazione. La stessa versione vulnerabile di Next.js può essere inattaccabile su un cloud managed e letale su un server Windows self-hosted, creando una percezione distorta del rischio per organizzazioni che gestiscono portfolio eterogenei.

La dipendenza da librerie upstream come libheif introduce un ulteriore strato di opacità: il team di sicurezza di un'azienda self-hosted deve ora tracciare non solo il proprio framework, ma le sue dipendenze transitive e il loro stato di patch in repository esterni. La responsabilità della sicurezza si dilata oltre i confini tradizionali del perimetro applicativo, richiedendo visibilità su catene di fornitura software spesso trasparenti agli utilizzatori finali.

Per i decisori, la lezione operativa è duplice: verificare che i sistemi di vulnerability scanning siano configurati per riconoscere le condizioni di esploitabilità specifiche della propria piattaforma, e non affidarsi esclusivamente al punteggio CVSS per la prioritizzazione. La specificità Windows di CVE-2026-75604 e il vettore AVIF della seconda falla richiedono valutazioni contestuali che i sistemi automatizzati potrebbero non catturare senza regole di asset correlation appropriate.

Domande frequenti

Le applicazioni su Vercel richiedono davvero zero azioni?

Sì, secondo l'advisory vendor primaria. Il runtime Linux del cloud Vercel non è affetto dalla falla Windows-specifica, e l'ottimizzazione AVIF è disabilitata a livello di piattaforma. Nessun upgrade, cambio di configurazione o redeploy è necessario.

Perché non esiste workaround per CVE-2026-75604?

L'advisory GitHub Security Lab GHSA-p293-qw3h-jr36 dichiara esplicitamente l'assenza di workaround noti per applicazioni hostate su Windows. Il vettore di path traversal è intrinseco alla gestione del filesystem in quella specifica configurazione, e la correzione richiede la modifica del codice sorgente distribuita nelle patch 15.5.24 e 16.3.3.

La falla AVIF è correlata a CVE-2026-75604?

No. Le due vulnerabilità condividono il framework bersaglio e la gravità elevata, ma hanno meccanismi di attacco distinti: path traversal su Windows per CVE-2026-75604, parsing insicuro di file immagine via libheif per GHSA-2xp9-vw3h-vxw4. Richiedono entrambe la stessa versione patchata, ma mitigazioni intermedie diverse.

Fonti

• https://securityonline.info/nextjs-rce-vulnerability/
• https://vercel.com/changelog/nextjs-august-2026-security-release
• https://www.fastly.com/documentation/reference/changes/2026/08/added-virtual-patch-for-cve-2026-75604/
• https://www.cve.org/CVERecord?id=CVE-2026-75604
• https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36
• https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti