Beveiligingsupdates voor Next.js en Node.js: dit moet je weten
Kort antwoord
In oktober 2026 brachten Next.js en Node.js beveiligingsupdates uit. Next.js dichtte op 14 oktober drie lekken, waarvan twee kritiek, in versie 15.5.28 en 16.4.1. Node.js volgde op 21 oktober met updates voor tien lekken in 26.12.1, 24.22.1 en 22.23.4. Onze eigen website is bijgewerkt en de websites die wij beheren werken we zo snel mogelijk bij.
Kernpunten
- Next.js: drie lekken, waarvan twee kritiek. Veilige versies zijn 15.5.28 en 16.4.1.
- Node.js: tien lekken, de ernstigste in het uitpakken van Brotli-data. Veilige versies zijn 26.12.1, 24.22.1 en 22.23.4.
- Geen van de lekken stond op 23 oktober in de CISA-lijst van actief misbruikte kwetsbaarheden.
- Klanten van Easybrand hoeven niets te doen: wij werken de websites die we beheren bij.
Wat is er aan de hand bij Next.js?
Next.js is een veelgebruikt framework om websites en webapplicaties mee te bouwen. Op 14 oktober 2026 bracht het Next.js-team een extra beveiligingsupdate uit voor drie lekken. Twee daarvan zijn kritiek: een aanvaller kan er zonder in te loggen code mee uitvoeren op de server. Het derde lek maakt het mogelijk om een server met speciale verzoeken zo druk te houden dat hij andere bezoekers niet meer helpt.
Of een website kwetsbaar is, hangt af van welke onderdelen van Next.js hij gebruikt. Het Next.js-team adviseert om toch te updaten, ook als je de genoemde functies niet gebruikt.
| Lek | Ernst | Wanneer ben je kwetsbaar? |
|---|---|---|
| Code uitvoeren via use cache (GHSA-673q-mjm6-r5xr) | Kritiek | App Router met Cache Components en een use cache-functie die meerdere typed arrays teruggeeft |
| Code uitvoeren via beeldoptimalisatie (CVE-2026-96889) | Kritiek | Beeldoptimalisatie van SVG's op een Linux-server met glibc |
| Server overbelasten via Server Actions (GHSA-p3m5-59mp-jv5r) | Hoog | App Router met minstens één Server Action |
De lekken zijn gedicht in Next.js 15.5.28 en 16.4.1. Voor oudere versies, zoals Next.js 14, is geen update uitgebracht.
Wat is er aan de hand bij Node.js?
Node.js is de software die JavaScript op de server uitvoert; ook Next.js draait erop. Op 21 oktober 2026 kwam Node.js met updates voor tien lekken. De ernstigste (CVE-2026-111497) zit in het uitpakken van Brotli-gecomprimeerde data: een app die zulke data van buitenaf uitpakt, kan crashen, geheugen lekken of in het ergste geval code laten uitvoeren. Daarnaast zijn er fouten opgelost in de controle van TLS-certificaten en DNS-namen.
| Versielijn | Veilige versie |
|---|---|
| Node.js 26 | 26.12.1 of nieuwer |
| Node.js 24 (LTS) | 24.22.1 of nieuwer |
| Node.js 22 | 22.23.4 of nieuwer |
| Node.js 20 en ouder | Geen update meer: overstappen naar een ondersteunde versie |
Hoe staan onze diensten ervoor?
Vaste prijs vooraf. Reactie binnen 24 uur.
Wat betekent dit voor klanten van Easybrand?
Onze eigen website is bijgewerkt naar de veilige versie van Next.js. De Node.js-updates voert onze hostingpartij automatisch door.
Websites en portalen die wij voor klanten bouwen en beheren, werken we zo snel mogelijk bij. Je hoeft daar zelf niets voor te doen. Er is op dit moment geen misbruik van deze lekken bekend.
De voortgang houden we bij op onze statuspagina. Heb je vragen of twijfels? Neem gerust contact met ons op.
Draait jouw website op Next.js? Dit kun je doen
Wordt je website niet door ons beheerd, loop dan deze stappen na of vraag je ontwikkelaar ernaar.
- 1Zoek uit welke Next.js-versie je gebruiktDie staat in het bestand package.json van je project, of je ziet hem met npm ls next. Weet je het niet, vraag het dan aan je ontwikkelaar.
- 2Update naar 15.5.28 of 16.4.1Gebruik je versie 15, update dan naar 15.5.28; gebruik je versie 16, dan naar 16.4.1 of nieuwer. Zet de site daarna opnieuw live.
- 3Gebruik je beeldoptimalisatie op je eigen server?Zorg dan dat sharp op versie 0.35.5 of nieuwer staat. Met de Next.js-update krijg je die meestal automatisch mee.
- 4Nog op Next.js 14 of ouder? Plan de overstapVoor die versies is geen update uitgebracht. Een overstap naar versie 15 of 16 vraagt wat meer werk, dus plan die op tijd.
- 5Werk Node.js bij op je eigen serverDraai je je site zelf, update dan naar 26.12.1, 24.22.1 of 22.23.4. Bij een hostingplatform voert de hostingpartij dit meestal door; check hun statuspagina of changelog.
Worden de lekken al misbruikt?
Bij het verschijnen van de updates was er geen misbruik bekend. Geen van de lekken stond op 23 oktober in de lijst van actief misbruikte kwetsbaarheden van de Amerikaanse cyberdienst CISA. Dat kan veranderen, en daarom is snel updaten verstandig.
Updates bijhouden is vast onderdeel van een veilige website. Wat daar nog meer bij komt kijken, lees je in website-onderhoud en beveiliging. Eerder deze week schreven we ook over het PHP-lek PHP2Shell.
Conclusie
De lekken in Next.js en Node.js zijn serieus, maar de oplossing is er al: updaten naar de nieuwe versies. Onze eigen website is bijgewerkt en de websites die wij beheren volgen zo snel mogelijk. Draait jouw site elders op Next.js of Node.js, controleer dan vandaag nog of de updates zijn doorgevoerd.
Veelgestelde vragen
Is mijn website bij Easybrand kwetsbaar?
Websites die wij beheren werken we zo snel mogelijk bij naar de veilige versies; je hoeft zelf niets te doen. Er is op dit moment geen misbruik van deze lekken bekend. De voortgang zie je op de statuspagina.
Moet ik als klant van Easybrand zelf iets doen?
Nee. Alleen als je ook websites of servers hebt die niet door ons worden beheerd, is het verstandig om daar de versies na te lopen. Twijfel je? Neem contact met ons op.
Wat is Next.js?
Next.js is een framework om snelle websites en webapplicaties te bouwen, gebaseerd op React. Veel moderne websites gebruiken het, ook een groot deel van de sites die wij bouwen.
Wat is Node.js?
Node.js is de software die JavaScript op de server uitvoert. Next.js draait erop. Daarom raken lekken in Node.js ook websites die met Next.js zijn gebouwd, als de server niet is bijgewerkt.
Hoe weet ik welke Next.js-versie mijn website gebruikt?
De versie staat in het bestand package.json van het project. Heb je geen toegang tot de code, vraag het dan aan je ontwikkelaar of webbureau.
Bronnen
Meer van Easybrand