Logo ari Space

Next.js 주간 요약 (2026-W35)

nextjs-weekly
갱신일 August 24, 2026
2 min read
Table of Contents

선정 기준

  • 대상: nextjs.org, vercel.com/blog, 그리고 Next.js 생태계와 직접 관련된 링크
  • 제외: JavaScript 일반 뉴스, React 전용 소식, Next.js와 직접 관련성이 낮은 Vercel 제품/AI Gateway 소식
  • 품질 게이트: accessible=true, extract_len>=1200, extract_text 존재

링크별 정리

1. August 2026 Security Release | Next.js

Next.js가 2026년 8월 보안 릴리스를 공개했다. 이번 릴리스는 기존에 예고했던 일정보다 앞당겨 배포되었으며, 이유는 추가적인 치명적 취약점이 확인되었기 때문이다. 패치 버전은 Active LTS인 16.3.3과 Maintenance LTS인 15.5.24로 제공된다.

업그레이드 명령은 다음과 같이 안내되었다.

Terminal window
npm install next@15.5.24 # for 15.5
npm install next@16.3.3 # for 16.3

이번 보안 릴리스에서 다루는 핵심 이슈는 두 가지다.

첫 번째는 AVIF 이미지를 사용하는 Image Optimization API의 unauthenticated Remote Code Execution 취약점이다. sharp가 사용하는 하위 libheif 라이브러리 문제로 인해, 공격자가 제어하는 AVIF 이미지를 Next.js가 최적화할 때 원격 코드 실행으로 이어질 수 있다. 패치 릴리스에서는 upstream 수정이 전파될 때까지 AVIF 최적화를 비활성화하는 방식으로 대응했다.

두 번째는 Windows에서 호스팅되는 서버에 영향을 주는 unauthenticated Remote Code Execution 취약점이다. Pages Router와 App Router를 함께 사용하고 Cache Components를 사용하지 않는 애플리케이션에서, Next.js 서버가 Windows 파일시스템 위에서 동작할 때 문제가 발생할 수 있다. Linux와 macOS는 이 이슈의 영향을 받지 않는다고 명시되어 있다. 영향을 받는 Windows 호스팅 애플리케이션에는 알려진 우회책이 없으므로 즉시 패치가 필요하다.

실무적으로는 Next.js 15.5 또는 16.3 계열을 운영 중인 프로젝트라면, 특히 이미지 최적화 기능을 사용하거나 Windows 서버에서 자체 호스팅하는 경우 우선순위를 높여 업그레이드해야 한다. 이번 공지는 단순 기능 업데이트가 아니라 critical severity 취약점 대응이므로, 배포 파이프라인에서 next 버전을 명시적으로 확인하고 잠금 파일까지 함께 갱신하는 것이 좋다.

요약 불가/검증 필요 링크

Update: August Next.js Security Release | Next.js