Next.js Sicherheitslücke CVE-2026-94483: Warum die Image Optimization zur SSRF-Falle wird

Sieben Schwachstellen, ein Patch, eine Zahl sticht heraus: CVE-2026-94483. Wer in seiner next.config die Option images.remotePatterns nutzt, betreibt möglicherweise seit Monaten eine offene Tür in private Cloud-Infrastruktur, ohne es zu wissen. Am 30. September 2026 hat das Next.js-Team diese Next.js Sicherheitslücke mit den Versionen 16.3.8 und 15.5.27 geschlossen. Für produktive Node.js-Umgebungen ist das kein optionales Update, sondern eine dringende Pflichtaufgabe.

Dieser Artikel erklärt, was genau passiert ist, wer betroffen ist, und wie Entwicklerteams die Lücke schnell und sicher schließen.

Key Takeaways

• CVE-2026-94483 ist eine SSRF-Schwachstelle (Server-Side Request Forgery) mit hohem Schweregrad in der Next.js Image Optimization.
• Betroffen sind Next.js-Versionen >=16.0.0 <16.3.8 sowie 15.5.x vor 15.5.27, aber nur, wenn images.remotePatterns konfiguriert ist.
• Angreifer können über DNS-Manipulation erlaubter Hosts den Server zwingen, Requests an private IP-Bereiche wie Cloud-Metadaten-Dienste zu senden.
• Der Fix ist ein einfaches Update auf next@16.3.8 oder next@15.5.27; ein Workaround ohne Update besteht im Entfernen nicht vertrauenswürdiger Hosts aus remotePatterns.
• Das Release behebt insgesamt sieben Schwachstellen, darunter Cache-Poisoning, Draft-Mode-Leaks und eine Info-Disclosure im Dev-Server.

Was ist CVE-2026-94483 genau?

CVE-2026-94483 betrifft die eingebaute Image-Optimization-Funktion von Next.js, die Bilder aus externen Quellen lädt, umwandelt und ausliefert. Diese Funktion ist seit Jahren ein beliebtes Feature, weil sie automatisch Formate optimiert, Größen anpasst und Ladezeiten reduziert. Genau diese Komfortfunktion wird nun zum Risiko.

Weiterfuehrend relevant ist auch der Artikel MariaDB SQL-Injection: Kritische Luecken in MariaDB Connector/Node.js geschlossen, der aehnliche CVE-Patch-Mechanismen im Node.js-Oekosystem beleuchtet.

Die Schwachstelle gehört zur Kategorie Server-Side Request Forgery (SSRF). Dabei zwingt ein Angreifer den Server, Netzwerkanfragen an Ziele zu senden, die eigentlich nicht erreichbar sein sollten, etwa interne Admin-Panels oder Cloud-Metadaten-Dienste wie AWS EC2 Instance Metadata oder Google Cloud Metadata Server. Diese Dienste liefern oft sensible Informationen wie temporäre Zugangsschlüssel aus, wenn man sie direkt anspricht.

Die Rolle von images.remotePatterns

Die Next.js Sicherheitslücke wird erst relevant, wenn Entwickler in ihrer next.config.js oder next.config.ts die Option images.remotePatterns nutzen. Diese Einstellung erlaubt es, bestimmte externe Domains als vertrauenswürdige Bildquellen zu definieren, zum Beispiel ein CDN oder einen Bilder-Hosting-Dienst.

Das Problem: Next.js prüft beim Laden eines Bildes den Hostnamen gegen die erlaubte Liste, aber die eigentliche Netzwerkanfrage erfolgt erst danach, basierend auf der zu diesem Zeitpunkt aufgelösten IP-Adresse. Genau hier setzt der Angriff an.

"Eine Konfiguration, die eigentlich Sicherheit schaffen soll, wird durch DNS-Manipulation in ihr Gegenteil verkehrt."

So funktioniert der Angriff (DNS-Rebinding)

Der Angriffsweg lässt sich in einfachen Schritten beschreiben:

1. Ein Angreifer kontrolliert einen Host, der in images.remotePatterns als vertrauenswürdig gelistet ist, oder nutzt eine Domain mit sehr kurzer DNS-TTL.
2. Zum Zeitpunkt der Next.js-Hostnamen-Prüfung löst die Domain auf eine legitime, erlaubte IP-Adresse auf.
3. Unmittelbar danach ändert der Angreifer den DNS-Eintrag so, dass derselbe Hostname nun auf eine private IP-Adresse zeigt, zum Beispiel 169.254.169.254, die klassische Adresse für Cloud-Metadaten-Dienste.
4. Next.js sendet die eigentliche Bildanfrage an diese neue, private Adresse, weil die Validierung bereits abgeschlossen war.
5. Der Server liefert möglicherweise interne Daten zurück, die der Angreifer über die Bildantwort oder Fehlermeldungen auswerten kann.

Diese Technik ist als DNS-Rebinding bekannt und wird häufig genutzt, um Validierungslücken bei Hostname-basierten Sicherheitsprüfungen auszunutzen.

Wer ist von dieser Next.js Sicherheitslücke betroffen?

Die betroffenen Versionsbereiche sind klar definiert:

Next.js-Linie	Betroffene Versionen	Gepatchte Version
Active LTS (16.x)	>=16.0.0 <16.3.8	16.3.8
Maintenance LTS (15.x)	15.5.x vor 15.5.27	15.5.27

Entscheidend ist jedoch eine zusätzliche Bedingung: Nur Anwendungen, die images.remotePatterns in der next.config konfiguriert haben, sind tatsächlich angreifbar. Projekte, die die Next.js Image-Komponente ausschließlich mit lokalen Bildern oder ohne diese Konfigurationsoption nutzen, sind von CVE-2026-94483 nicht betroffen.

Das bedeutet in der Praxis: Content-Management-Systeme, Marktplätze, Blogs mit externem Bild-CDN oder E-Commerce-Plattformen, die Produktbilder von Drittanbietern einbinden, tragen ein deutlich höheres Risiko als reine Landingpages ohne externe Bildquellen.

Risikoeinschätzung für Produktivsysteme

Die Einstufung als High Severity ist gerechtfertigt, weil die Konsequenzen weit über die Anwendung selbst hinausgehen können. Wird ein Cloud-Metadaten-Dienst erfolgreich angesprochen, können Angreifer unter Umständen an temporäre IAM-Zugangsdaten gelangen. Diese Daten lassen sich wiederum nutzen, um auf andere Cloud-Ressourcen zuzugreifen, Datenbanken, Speicher-Buckets oder interne APIs.

Für Teams, die Next.js in AWS, Google Cloud oder Azure betreiben und dabei Instanzrollen mit weitreichenden Berechtigungen nutzen, ist das Risiko besonders hoch.

Die sechs weiteren Schwachstellen im Überblick

Das Sicherheitsupdate vom 30. September 2026 behebt nicht nur die SSRF-Lücke, sondern insgesamt sieben Probleme. Ein Überblick:

• CVE-2026-94543 (Medium): Cache-Poisoning von statisch generierten (SSG) und inkrementell regenerierten (ISR) Seiten. Betrifft ausschließlich self-hosted Deployments. Vercel-gehostete Anwendungen sind hier ausdrücklich nicht betroffen.
• Zwei 'use cache'-Leaks: Fehler im neuen Caching-Primitiv von Next.js. Eine der beiden Lücken kann dazu führen, dass Inhalte aus dem Draft Mode ungewollt offengelegt werden, relevant für Redaktionssysteme mit Vorschau-Funktion.
• Metadata-Image-Route-Schwachstelle: Betrifft Builds, die mit Webpack erstellt wurden. Projekte, die bereits auf Turbopack als Build-Tool setzen, sind nicht betroffen.
• CVE-2026-94486 (Low): Eine Information-Disclosure-Schwachstelle über den MCP-Endpoint des next-dev-Servers. Dies betrifft ausschließlich die lokale Entwicklungsumgebung, nicht Produktionssysteme.

Auch wenn CVE-2026-94483 im Zentrum der Berichterstattung steht, lohnt sich ein Blick auf die gesamte Liste. Gerade Teams mit self-hosted Infrastruktur oder aktivem Draft Mode sollten die zusätzlichen Punkte nicht ignorieren.

So schließen Entwickler die Next.js Sicherheitslücke

Die Behebung dieser Next.js Sicherheitslücke erfordert in den meisten Fällen nur einen Befehl. Next.js folgt dem üblichen Patch-Modell: ein Update auf die jeweils aktuelle Patch-Version innerhalb der bestehenden Major-Linie.

Schritt 1: Version prüfen

Zunächst sollte die aktuell installierte Version ermittelt werden:

npm list next

Schritt 2: Auf die gepatchte Version aktualisieren

Je nach genutzter Linie lautet der Befehl:

npm install [email protected]

oder, für Projekte auf der Maintenance-LTS-Linie:

npm install [email protected]

Nach der Installation empfiehlt sich ein vollständiger Neu-Build sowie ein Durchlauf der bestehenden Test-Suite, insbesondere für Bereiche, die die Image-Komponente, ISR-Seiten oder den Draft Mode nutzen.

Schritt 3: Workaround, falls ein sofortiges Update nicht möglich ist

Nicht jedes Team kann ein Produktionssystem binnen Stunden aktualisieren, etwa wegen Freigabeprozessen oder Change-Management-Vorgaben. Für diesen Fall gibt es einen kurzfristigen Workaround:

Alle nicht zwingend notwendigen oder nicht vollständig vertrauenswürdigen Hosts aus images.remotePatterns entfernen. Je enger diese Liste gefasst ist, desto kleiner die Angriffsfläche. Idealerweise werden nur Domains gelistet, die vom eigenen Unternehmen oder von fest etablierten, bekannten CDN-Anbietern mit stabiler Infrastruktur betrieben werden.

Dieser Workaround ersetzt das Update nicht, reduziert aber das unmittelbare Risiko, bis der vollständige Patch eingespielt werden kann.

Checkliste für die Behebung

• Installierte Next.js-Version identifizieren
• Prüfen, ob images.remotePatterns in der Konfiguration verwendet wird
• Update auf 16.3.8 oder 15.5.27 durchführen
• Bei self-hosted Deployments zusätzlich Cache-Verhalten nach dem Update prüfen
• Draft-Mode-Zugriffe und Zugriffsrechte kontrollieren
• Build-Tool (Webpack vs. Turbopack) im Hinblick auf die Metadata-Image-Route-Lücke überprüfen
• Lokale Entwicklungsumgebungen ebenfalls aktualisieren

Warum diese Next.js Sicherheitslücke über den Einzelfall hinaus relevant ist

SSRF-Schwachstellen gehören seit Jahren zu den am häufigsten ausgenutzten Schwächen in Cloud-nativen Anwendungen. Die OWASP-Organisation listet SSRF explizit als eigene Kategorie in ihren Top-10-Risiken für Webanwendungen. Der Grund: Moderne Frameworks bieten immer mehr eingebaute Funktionen, die serverseitig externe Ressourcen abrufen, Bilder, Webhooks, API-Proxys. Jede dieser Funktionen ist ein potenzieller Angriffsvektor, wenn die Validierung nicht konsequent über den gesamten Request-Lebenszyklus hinweg erfolgt.

Next.js ist mit seiner Image Optimization eines der am weitesten verbreiteten React-Frameworks überhaupt. Eine Schwachstelle in diesem zentralen Baustein betrifft potenziell tausende Produktionsanwendungen weltweit, von kleinen Start-up-Projekten bis zu Enterprise-Plattformen.

Teams sollten diesen Vorfall auch als Anlass nehmen, generelle SSRF-Schutzmaßnahmen zu überprüfen: Netzwerksegmentierung, restriktive IAM-Rollen für Cloud-Instanzen und die konsequente Blockierung von Zugriffen auf Metadaten-Endpunkte von Anwendungsservern aus, wo immer technisch möglich.

Häufige Fragen zur Next.js Sicherheitslücke

Ist meine Anwendung betroffen, wenn ich keine externen Bilder einbinde? Nein. Ohne konfiguriertes images.remotePatterns besteht laut offizieller Angabe keine Angriffsfläche für CVE-2026-94483.

Reicht ein einfaches npm-Update aus? In den allermeisten Fällen ja. Next.js folgt semantischer Versionierung innerhalb der Patch-Ebene, sodass keine Breaking Changes zu erwarten sind.

Betrifft die Cache-Poisoning-Lücke auch Vercel-Hosting? Nein, CVE-2026-94543 betrifft laut Angaben ausschließlich self-hosted Deployments.

Fazit und nächste Schritte

Die Next.js Sicherheitslücke CVE-2026-94483 zeigt eindrücklich, wie aus einer komfortablen Standardfunktion ein ernstes Sicherheitsrisiko werden kann, sobald externe Netzwerkanfragen ins Spiel kommen. Für Teams mit konfiguriertem images.remotePatterns ist Handeln angezeigt, nicht optional.

Konkret sollten Entwicklerteams jetzt:

1. Alle produktiven Next.js-Deployments auf die Versionsnummer prüfen.
2. Umgehend auf 16.3.8 oder 15.5.27 aktualisieren.
3. Falls ein sofortiges Update nicht möglich ist, die Liste erlaubter Hosts in images.remotePatterns konsequent verschlanken.
4. Die weiteren sechs behobenen Schwachstellen im eigenen Deployment-Kontext bewerten, insbesondere bei self-hosted Infrastruktur und aktivem Draft Mode.
5. Langfristig SSRF-Schutzmaßnahmen auf Infrastrukturebene etablieren, etwa durch Netzwerkregeln, die Zugriffe auf Cloud-Metadaten-Dienste von Anwendungsservern aus blockieren.

Wer diese Schritte zeitnah umsetzt, schließt nicht nur eine akute Lücke, sondern stärkt grundsätzlich die Widerstandsfähigkeit der eigenen Infrastruktur gegen künftige SSRF-basierte Angriffe.