Vercel의 Next.js 이미지 최적화 취약점 수정
중요Vercel
2026년 8월, Hacktron이 Next.js의 이미지 최적화에서 원격 코드 실행(RCE) 취약점을 발견했습니다. 이 취약점은 Next.js가 아닌 libheif라는 AVIF 이미지 디코더에서 발생했으며, Vercel은 Hacktron과 협력하여 RCE를 재현하고, sharp, libvips, libheif의 유지보수자에게 이를 알렸습니다. Vercel은 플랫폼 전반에 걸쳐 AVIF 최적화를 비활성화하여 취약점을 완화했습니다.
영향 큼·대상 Vercel 사용자 · 인프라·배포
왜 중요한가
이 취약점은 Next.js를 사용하는 기존 사용자에게 심각한 보안 위협이 될 수 있습니다. 악의적인 AVIF 이미지가 이미지 최적화 엔드포인트를 통해 libheif에 도달할 경우, 원격 코드 실행이 가능해질 수 있습니다. 따라서 이 문제를 즉시 해결하는 것이 중요합니다.
지금 해볼 것
- Next.js의 AVIF 최적화가 비활성화되었는지 확인하세요.
- 현재 사용 중인 이미지 최적화 설정을 검토하세요.
- libheif의 최신 버전으로 업데이트되었는지 확인하세요.
뎁스노트의 제안
현재 Next.js를 사용하는 팀은 즉시 AVIF 최적화를 비활성화하고, 보안 업데이트를 적용하는 것이 좋습니다. 이 취약점은 이미지 처리와 관련된 모든 애플리케이션에 영향을 미칠 수 있으므로, 관련 팀과 협력하여 추가적인 보안 점검을 수행하는 것이 필요합니다. 또한, 향후 보안 패치에 대한 모니터링을 강화하는 것이 좋습니다.
출처 · Vercel 공식 업데이트 · 2026.09.18
공식 원문 보기Vercel를 사용하시나요?
중요한 변경만 받아보세요.