Next.js 16.3.8 보안 패치, 이미지 요청·캐시 정보 노출 등 수정

이번 소식

웹사이트를 만드는 프레임워크 Next.js 16.3.8이 공개됐습니다. 공식 릴리스는 보안 권고 7건의 수정을 포함한다고 명시합니다. 심각도는 High 1건, Medium 5건, Low 1건이며, 이미지 처리·페이지 캐시·개발 서버처럼 서로 다른 기능이 대상입니다.

주요 변경

• 이미지 처리 중 서버 요청 악용: 높은 심각도의 SSRF는 공격자가 허용 목록에 든 외부 이미지 주소를 제어할 때 서버가 내부 주소 등에 요청하게 만들 수 있는 문제입니다. 공식 권고는 images.remotePatterns를 설정하지 않은 앱은 이 문제의 영향을 받지 않는다고 설명합니다.
• 캐시를 통한 콘텐츠 혼합·노출: 일부 정적 페이지의 캐시가 다른 경로의 내용으로 바뀌는 문제와, use cache 처리 중 미공개 초안이나 다른 경로 매개변수의 내용이 섞이는 문제가 포함됐습니다. 초안 노출 건은 캐시 기능과 Draft Mode 미리보기의 사용 조건을 함께 확인해야 합니다.
• 메타데이터 이미지 경로: webpack으로 빌드한 App Router 앱에서 공유용 이미지 경로가 dynamicParams 설정을 따르지 않아, 미리 허용하지 않은 동적 경로의 이미지를 요청할 수 있는 문제가 공개됐습니다.
• 개발 서버 정보 노출: 악성 웹사이트가 개발 서버의 MCP 연결 지점에서 프로젝트 경로·오류 속 코드 조각·로그 등을 읽을 수 있는 문제도 수정 목록에 들어갔습니다. 해당 권고는 next dev에만 영향을 주며 운영 배포는 이 연결 지점을 제공하지 않는다고 구분합니다.

영향 대상과 활용

Next.js로 사이트를 운영하는 팀은 사용 중인 버전과 이미지·캐시·미리보기 설정을 확인하고 16.3.8 보안 패치 적용을 검토해야 합니다. 사이트 방문자는 직접 패키지를 업데이트할 수 없으므로 운영자가 적용하는 변경입니다.

모든 앱이 일곱 문제에 똑같이 노출되는 것은 아닙니다. 예를 들어 자체 서버의 Pages Router 정적 페이지 캐시 권고는 Vercel 배포가 해당 문제의 영향을 받지 않는다고 명시합니다. 이 예외를 나머지 취약점 전체에 적용해서는 안 됩니다.

사용 전 확인할 점

일부 개별 권고의 수정 버전 칸은 확인 시점에도 16.3.?·15.5.?로 표시됐습니다. 이 글은 16.3.8 공식 릴리스의 수정 포함 명시를 기준으로 작성했으며, 다른 버전 계열의 패치 번호는 추정하지 않았습니다. 실제 서비스의 업데이트·재빌드·기능 점검은 별도로 진행해야 하며 이 기사에서 실행하지 않았습니다.

공식 출처·발표 시점

릴리스 게시 시각은 2026년 10월 1일 01:13 KST입니다. 아래 공식 릴리스가 연결한 7개 보안 권고의 영향 조건을 함께 확인했습니다.

원문 출처 보기 →