넥스트JS 긴급 보안 업데이트, RCE 2건 수정

넥스트JS(Next.js) 팀이 10월 14일 예정 외 보안 업데이트를 공개했습니다. 패치가 적용된 버전은 v16.4.1(Active LTS)과 v15.5.28(Maintenance LTS)이고, 이번에 처리된 취약점은 모두 3건입니다. 이 가운데 2건은 인증이 필요 없는 원격 코드 실행(RCE)으로 심각도가 가장 높게 매겨졌습니다. 운영 중인 앱이 있다면 바로 올리는 것이 좋겠습니다.

첫 번째는 App Router의 Cache Components 기능에서 use cache 함수가 여러 개의 타입 배열을 반환할 때 발생하는 RCE입니다(GHSA-673q-mjm6-r5xr). 공식 공지는 "알려진 우회 방법이 없다"고 못박으며, 비슷한 함수를 쓰지 않더라도 즉시 업그레이드하라고 권고했습니다. 두 번째는 이미지 최적화 API가 SVG를 처리할 때 생기는 RCE입니다(CVE-2026-96889). glibc 기반 리눅스에서 넥스트JS가 끌어다 쓰는 상위 라이브러리의 메모리 결함이 원인입니다. 세 번째는 Server Actions를 쓰는 App Router 앱에서 조작된 요청으로 CPU를 과도하게 점유시켜 서비스 거부(DoS)를 일으킬 수 있는 문제로, 심각도는 높음입니다.

SVG 쪽 취약점은 당장 올리기 어렵다면 넥스트JS가 사용하는 sharp 패키지를 0.35.5 이상으로 맞추는 것으로 임시 방어가 가능합니다. 패치 버전으로 올리면 패키지 매니저가 알아서 고쳐진 sharp를 가져오도록 되어 있습니다.

이번 두 건의 심각 취약점은 원래 9월 보안 릴리스에 포함될 예정이었지만 상위 의존성 수정이 늦어지면서 미뤄졌던 것입니다. 인증 없이 원격 코드 실행이 가능한 데다 App Router를 쓰는 서비스가 워낙 많다 보니 영향 범위가 넓어 보입니다. 리액트(React) 쪽에도 연관 권고가 함께 올라왔으니, 넥스트JS를 쓰고 있다면 버전부터 확인해 두시길 권합니다.

🔗 https://nextjs.org/blog/nextjs-security-update-october-14-2026