أطلقت منصة تطوير تطبيقات الويب Next.js تحديثًا أمنيًا عاجلًا خارج جدول التحديثات المعتاد لمعالجة ثغرتين بالغتي الخطورة تسمحان بتنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى مصادقة، إلى جانب ثغرة أخرى قد تؤدي إلى تعطيل الخدمة واستنزاف موارد الخوادم.
وتستهدف الإصلاحات الجديدة الإصدارين المدعومين طويلَي الأمد 16.4.1 و15.5.28، بعد اكتشاف مشكلات أمنية تؤثر على مكونات أساسية داخل بيئة التشغيل، من بينها React Server Components وآلية معالجة ملفات SVG المعتمدة على المكتبة مفتوحة المصدر librsvg.
وتعكس هذه الثغرات تصاعد القلق الأمني داخل منظومة Next.js، خاصة أن اثنتين منها حصلتا على درجة خطورة 9.5 من أصل 10 وفق تقييم شركة Vercel المطورة للإطار البرمجي، وهو ما يضعها ضمن الفئة الحرجة التي تستوجب استجابة فورية من المطورين وأصحاب التطبيقات.
ثغرتا تنفيذ أوامر عن بُعد تهددان تطبيقات Next.js
أولى الثغرات الحرجة ترتبط بميزة “use cache” المستخدمة ضمن React Server Components، وهي التقنية التي تسمح بتشغيل بعض مكونات واجهة المستخدم على الخادم بدلاً من المتصفح.
وبحسب التحذير الأمني، فإن الخلل يؤثر في تطبيقات App Router التي تستخدم Cache Components، وتحديدًا الحالات النادرة التي تعيد فيها الدوال المرتبطة بميزة “use cache” أكثر من Typed Array واحدة. وفي هذه الظروف يمكن للمهاجم استغلال مدخلات خاضعة لسيطرته للتأثير على معالجة البيانات داخل الخادم وفتح باب تنفيذ تعليمات برمجية غير مصرح بها.
ورغم أن الشركة وصفت سيناريو الاستغلال بأنه محدود نسبيًا ويشمل حالات نادرة للغاية، فإنها أوصت جميع المستخدمين بالترقية الفورية بغض النظر عن طبيعة تطبيقاتهم أو اعتقادهم بعدم تأثرها.
أما الثغرة الثانية فتتعلق بمعالجة الصور بصيغة SVG عبر مكتبة sharp الشهيرة، والتي تعتمد بدورها على librsvg لعرض الرسومات المتجهة. وتكمن المشكلة في خلل متعلق بإدارة الذاكرة يمكن أن يسمح للمهاجم بتنفيذ تعليمات برمجية على أنظمة Linux المعتمدة على مكتبة glibc عند تمرير ملفات SVG خبيثة إلى الخادم.
وتظهر المخاطر بشكل خاص عندما يكون التطبيق مهيأ لمعالجة صور SVG القادمة من المستخدمين أو من مصادر خارجية، سواء عبر ميزة تحسين الصور المدمجة أو من خلال آلية next/og المستخدمة لإنشاء الصور الترويجية الخاصة بمواقع التواصل الاجتماعي.
ثغرة تعطيل الخدمة واستنزاف المعالج
لم تقتصر التحديثات الأمنية على معالجة مخاطر تنفيذ الأوامر البرمجية، بل شملت أيضًا إصلاح ثغرة حجب الخدمة Denial of Service التي تؤثر في تطبيقات App Router التي تحتوي على ميزة Server Actions.
ويكمن الخلل في إمكانية إرسال طلبات مصممة خصيصًا تؤدي إلى رفع استهلاك وحدة المعالجة المركزية إلى الحد الأقصى داخل إحدى عمليات الخادم، ما يؤدي إلى توقفها عن معالجة الطلبات الأخرى، وبالتالي تعطل الخدمة بالنسبة للمستخدمين الشرعيين.
وبينما لا تتأثر التطبيقات التي تعتمد Pages Router التقليدي بهذه المشكلة، حذرت الشركة من أن وجود Server Action واحدة فقط داخل التطبيق يكفي لجعله معرضًا للهجوم.
وأشارت بعض منصات الاستضافة، مثل Netlify، إلى أن التأثير على بنيتها التحتية محدود بسبب اختلاف آليات تشغيل بعض المكونات البرمجية، لكنها أوصت رغم ذلك جميع العملاء بتثبيت التحديثات الجديدة دون تأخير.
خطوات الحماية والتحديث الفوري
تنصح Vercel جميع المؤسسات والمطورين بالترقية إلى الإصدار 16.4.1 إذا كانوا يستخدمون سلسلة Next.js 16، أو الإصدار 15.5.28 لمستخدمي الفرع 15.
وبعد عملية الترقية، يجب إعادة بناء التطبيق وإعادة نشره لضمان تحميل الحزم البرمجية المحدثة. كما شددت الشركة على ضرورة التحقق من إصدار مكتبة sharp، خاصة لدى مستخدمي Next.js 15، لأن بعض بيئات العمل قد تحتفظ بالإصدارات القديمة المتأثرة بالثغرة.
وفي حال تعذر ترقية Next.js مؤقتًا، يمكن الحد من مخاطر ثغرة SVG عبر التأكد من استخدام sharp 0.35.5 أو إصدار أحدث، أو من خلال تعطيل معالجة ملفات SVG داخل المكتبة إلى حين تطبيق التحديث الكامل.
في المقابل، لا توجد أي وسائل تخفيف أو حلول بديلة لمعالجة ثغرتي “use cache” وServer Actions، ما يجعل التحديث الرسمي الخيار الوحيد لسد هذين المسارين الهجوميين.
سلسلة متواصلة من مشكلات معالجة الصور
تكشف هذه الحادثة عن نمط متكرر من الثغرات المرتبطة بمعالجة الصور داخل بيئة Next.js. ففي أغسطس 2026 جرى إصلاح ثغرة خطيرة مرتبطة بمكتبة libheif كانت تسمح بتنفيذ تعليمات برمجية من خلال ملفات AVIF معدلة خصيصًا. وفي سبتمبر من العام نفسه ظهرت ثغرة أخرى داخل مكون next/og سمحت بالتلاعب بمحتوى ملفات SVG المُولدة ديناميكيًا.
والمثير للاهتمام أن التحديث الأخير لم يتضمن أي تعديلات جوهرية على نظام معالجة الصور في Next.js نفسه، بل اعتمد على رفع إصدار مكتبة sharp إلى النسخة 0.35.5 التي تتضمن الإصلاح الخاص بالمكتبة librsvg 2.63.2.
كما أوضح الباحث الأمني رافائيل ب. دياس أن الخلل المكتشف في librsvg يرتبط تقنيًا بالثغرة التي ظهرت سابقًا داخل next/og، الأمر الذي يعكس الترابط المتزايد بين مكونات سلسلة معالجة الصور الحديثة.
وتحذر الأوساط الأمنية من أن نجاح الاستغلال قد يختلف باختلاف إعدادات الخادم وإصدارات Node.js المستخدمة، حيث إن بعض البيئات تفتقر إلى آليات التحصين المتقدمة ضد هجمات فساد الذاكرة.
ورغم أن الثغرات الثلاث لم تُسجل ضدها أي هجمات معروفة حتى 15 أكتوبر 2026، فإن خطورتها العالية وطبيعة الاستغلال غير الموثق علنًا يدفعان خبراء الأمن السيبراني إلى اعتبار التحديث الفوري ضرورة ملحة، خاصة في ظل التاريخ القريب لثغرات Next.js وReact التي انتقلت من مرحلة الكشف إلى الاستغلال الفعلي خلال فترات زمنية قصيرة.
