Vercel

นักวิจัยบริษัท pwn.ai พบช่องโหว่ PwnEscape (CVE-2026-99999) ในโค้ดเครือข่ายของ Linux kernel ที่ทำให้โค้ดใน VM อ่านหน่วยความจำของ host ได้ เคอร์เนลให้คะแนน 9.3 ระดับ Critical แต่ผู้โจมตีต้องรันโค้ดใน guest อยู่แล้ว การรั่วหน่วยความจำพิสูจน์บน sandbox จริงของ Vercel ส่วนการทำ host ล่มและรันโค้ดเกิดในแล็บเท่านั้น ช่องโหว่พบในการแข่งขันมูลค่า 1 ล้านดอลลาร์ของ Vercel ด้วยระบบวิจัยที่ใช้ AI ช่วย ใช้เวลา 3 วัน แพตช์ backport ไปทุกสาย stable แล้ว

Next.js ออกแพตช์นอกรอบเมื่อ 14 ต.ค. 2569 แก้ 2 ช่องโหว่รันโค้ดโดยไม่ต้องยืนยันตัวตนระดับ critical คะแนน 9.5 และช่องโหว่ DoS ระดับสูงอีก 1 รายการ ตัวแรกอยู่ใน React Server Components กระทบแอป Next.js 16 ที่เปิด Cache Components ตัวที่สองคือ CVE-2026-96889 ใน librsvg ที่ Next.js ใช้ผ่านแพ็กเกจ sharp เพื่อจัดการภาพ SVG บน Linux แบบ glibc แก้ไขแล้วในเวอร์ชัน 16.4.1 และ 15.5.28 แต่สาย 15 อาจยังค้าง sharp เวอร์ชันเก่าที่มีช่องโหว่ และสองช่องโหว่ยังไม่มี CVE ทำให้ npm audit ไม่เตือน

Vercel ออกแพตช์ให้ Next.js อุด 2 ช่องโหว่ร้ายแรงที่เปิดทางรันโค้ดระยะไกลโดยไม่ต้องยืนยันตัวตน ตัวแรกคือ CVE-2026-75604 (CVSS 9.0) เป็น path traversal ที่กระทบเฉพาะเซิร์ฟเวอร์ซึ่งใช้ระบบไฟล์ของวินโดวส์ ตัวที่สองเป็น heap buffer overflow ในไลบรารี libheif ที่ Next.js เรียกใช้ผ่าน sharp เมื่อประมวลผลไฟล์ AVIF ที่ผู้โจมตีสร้างขึ้น แก้แล้วในเวอร์ชัน 15.5.24 และ 16.3.3 ที่ออกเมื่อ 25 สิงหาคม 2569 ยังไม่มีรายงานการโจมตีจริงจนถึงวันที่ 27 สิงหาคม

บริษัท Vercel เปิดเผยและแก้ไข 9 ช่องโหว่ใน Next.js เฟรมเวิร์ก React ยอดนิยม ครอบคลุมทั้ง server-side request forgery (SSRF), การข้ามการยืนยันตัวตนที่ชั้น middleware, การโจมตีแบบ denial-of-service และการเปิดเผยข้อมูลอ่อนไหว ช่องโหว่ร้ายแรงที่สุดคือ CVE-2026-64645 เป็น SSRF ในฟีเจอร์ rewrites กระทบเวอร์ชัน 12.0.0 ถึง 15.5.21 และ 16.0.0 ถึง 16.2.11 แก้ไขแล้วในเวอร์ชัน 15.5.21 และ 16.2.11 รุ่นเก่า 13.x และ 14.x จะไม่ได้รับแพตช์โดยตรง ต้องอัปเกรด