Next.js 16.3.6 긴급 보안 업데이트…Node.js ImageResponse RCE 수정

핵심 요약

Next.js가 16.3.6(Active LTS)과 15.5.26(Maintenance LTS) 보안 업데이트를 공개했습니다. 실제 원격 코드 실행(RCE) 취약점의 영향 범위는 Next.js 16.2.0 이상 16.3.6 미만의 Node.js ImageResponse이며, 16.3.6에서 수정됐습니다. 15.5.26은 관련 하드닝 업데이트이며 Next.js 15.x는 해당 RCE의 영향 대상이 아닙니다.

주요 변경

• 공식 보안 권고 GHSA-vcvr-r3jv-pc5j는 취약점을 Critical로 분류하며, CVE는 CVE-2026-94545, CVSS v4 점수는 9.5입니다.
• 취약점은 next/og의 Node.js ImageResponse에서 공격자가 제어하는 값을 SVG 콘텐츠·속성·스타일에 전달할 때 원격 코드 실행으로 이어질 수 있습니다.
• Edge ImageResponse 구현은 영향받지 않습니다.
• 즉시 업그레이드가 어렵다면 Node.js ImageResponse가 렌더링하는 SVG에 공격자 제어 값을 전달하지 않는 것이 공식 우회책입니다.

개발자 영향

Next.js 16.2.x~16.3.5에서 Node.js ImageResponse를 사용하는 서비스는 16.3.6으로 우선 업데이트해야 합니다. 15.5 사용자는 RCE 영향 대상은 아니지만 관련 하드닝이 포함된 15.5.26으로 업데이트하는 것이 권장됩니다.

발표 시각(KST): 2026년 9월 22일 · 세부 시각 미공개

원문 출처 보기 →