เกิดอะไรขึ้น
Next.js เผยช่องโหว่ความปลอดภัย 2 จุดใน Security Release เดือน ส.ค. 2026 ได้แก่ GHSA-2xp9-vwfh-vxw4 ที่เกิดจาก libheif และนำไปสู่การรันโค้ดระยะไกลโดยไม่มีการยืนยันตัวตนเมื่อ Image Optimization ประมวลผลไฟล์ AVIF ที่ถูกสร้างมา และ CVE-2026-75604 (GHSA-p293-qw3h-jr36) ที่นำไปสู่การรันโค้ดระยะไกลโดยไม่มีการยืนยันตัวตนบนเซิร์ฟเวอร์ Next.js บน Windows ในแอปที่ใช้ Pages Router และ App Router โดยไม่มี Cache Components หลังพบช่องโหว่ AVIF Vercel ปิดการ optimize AVIF ในบริการ Image Optimization แบบ managed และรันไทม์ Next.js ของ Vercel ใช้ Linux จึงไม่ได้รับผลกระทบจากช่องโหว่ Windows
ทำไมเรื่องนี้สำคัญ
ช่องโหว่ทั้งสองเปิดโอกาสให้เกิดการรันโค้ดระยะไกลโดยไม่มีการยืนยันตัวตนได้ แต่ Vercel ปิด AVIF optimization ในบริการ managed Image Optimization และรันไทม์ Next.js ของ Vercel ใช้ Linux ทำให้แอปบน Vercel ปลอดภัยโดยไม่ต้องอัปเกรด เปลี่ยนการตั้งค่า หรือ deploy ใหม่ ขณะที่แอป self-host ต้องอัปเดตเวอร์ชันแก้ไขทันที
ผลกระทบที่น่าจับตา
-
สำหรับนักพัฒนา: ผู้พัฒนาที่ self-host ต้องอัปเดตทันที: แอป Next.js ที่ self-host ควรอัปเกรดเป็นเวอร์ชันที่แก้ไขแล้ว โดยเฉพาะช่องโหว่ Windows ที่ไม่มี workaround และต้องอัปเดตทันที
-
สำหรับธุรกิจ: ธุรกิจที่ใช้ Vercel ไม่ต้องดำเนินการ: แอปบน Vercel ปลอดภัยโดยไม่ต้องอัปเกรด เปลี่ยนการตั้งค่า หรือ deploy ใหม่ เพราะ Vercel ปิด AVIF optimization และรันไทม์ใช้ Linux
-
สำหรับผู้อ่าน: ทีมปฏิบัติการต้องรู้พฤติกรรม AVIF หลังอัปเดต: ในเวอร์ชันที่แก้ไขแล้ว AVIF จะไม่ถูก resize หรือ optimize และจะถูกส่งแบบเดิมจนกว่า libheif เวอร์ชันแก้ไขพร้อมใช้
มุมมองของทันเทค
บทวิเคราะห์: กรณีนี้สะท้อนว่าแพลตฟอร์ม managed cloud อย่าง Vercel สามารถลดภาระด้านความปลอดภัยให้ทีมพัฒนาได้ทันทีเมื่อพบช่องโหว่ upstream แต่ความเสี่ยงจริงยังอยู่ที่ระบบ self-host ที่ต้องอัปเดตตามเวอร์ชันแก้ไข โดยเฉพาะช่องโหว่ Windows ที่ไม่มี workaround ทำให้การติดตาม Security Release และอัปเดตทันทีเป็นขั้นตอนสำคัญ
สรุปในประโยคเดียว
Vercel ระบุว่าแอป Next.js บน Vercel ปลอดภัยจากช่องโหว่ 2 จุดเดือน ส.ค. 2026 โดยไม่ต้องอัปเกรดหรือ deploy ใหม่ ขณะที่แอป self-host ต้องอัปเดตเวอร์ชันแก้ไขทันที