Next.js CVE-2026-44578 : une SSRF via WebSocket sur les instances auto-hébergées
> En bref : CVE-2026-44578 permet à un attaquant non authentifié de faire proxifier des requêtes par votre serveur Next.js auto-hébergé, via des requêtes WebSocket forgées. CVSS 8.6, uniquement sur les instances auto-hébergées (le serveur Node.js intégré). Correctif : Next.js 15.5.16 et 16.2.5.
Pourquoi ça vous concerne
Next.js est partout dans les produits modernes : c'est le framework par défaut pour un frontend rapide adossé à une API. La plupart des équipes déploient sur Vercel, mais un nombre croissant d'éditeurs auto-hébergent — sur un VPS, dans un conteneur Docker, derrière leur propre reverse proxy — pour des raisons de coût, de souveraineté des données ou d'hébergement en France.
Cette CVE ne touche que ce second cas. Et c'est justement le cas où on l'oublie le plus facilement.
La faille en deux phrases
Le serveur Node.js intégré de Next.js gère les mises à niveau WebSocket. Sur les versions 13.4.13 à 15.5.15 et 16.2.4, une requête d'upgrade WebSocket forgée peut amener le serveur à établir une connexion vers une destination arbitraire — interne ou externe — choisie par l'attaquant.
Autrement dit : c'est une {SSRF}. Votre serveur devient un relais qui émet des requêtes en votre nom, depuis l'intérieur de votre réseau.
Ce qu'un attaquant en fait
Une SSRF depuis un serveur applicatif est rarement une fin en soi — c'est un point de pivot. Les cibles classiques :
169.254.169.254 sur AWS, GCP, Azure) : sur une configuration mal durcie, ils exposent des identifiants d'accès temporaires au compte cloud. C'est le scénario qui a mené à la fuite Capital One.Pour un éditeur de logiciels, le risque concret est direct : depuis un frontend Next.js exposé, atteindre les briques internes qui manipulent les fiches salariés, la paie ou les bases candidats.
« On est sur Vercel », donc pas concerné ?
Correct — les déploiements Vercel ne sont pas affectés, car ils n'utilisent pas le serveur Node.js intégré. Mais avant de refermer l'onglet, posez-vous trois questions :
Ce sont exactement les surfaces qui échappent à l'inventaire et qui restent en versions vulnérables des mois après le correctif.
Quoi faire, dans l'ordre
La leçon qui dépasse cette CVE
Une SSRF ne « vole » rien directement : elle transforme votre serveur en tremplin. C'est pourquoi elle est si souvent sous-estimée en interne — le correctif règle l'instance, mais le vrai enjeu est la question qu'elle pose : *depuis ce serveur, qu'est-ce qui est atteignable ?*
Si votre frontend peut joindre vos métadonnées cloud ou vos bases internes, chaque future SSRF sera critique. C'est exactement le type de chemin d'exposition que nous cartographions en conditions réelles. Notre Premier diagnostic vérifie la surface exposée de votre application Next.js et les destinations réellement atteignables depuis vos serveurs : verdict en 48h.
Vous éditez un logiciel ? CleanIssue réalise des audits de sécurité pour votre produit en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.
Articles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
Next.js CVE-2026-75604 : RCE non authentifiée sur Windows et heap overflow AVIF — patchs d'urgence du 25 août
Vercel corrige deux failles critiques Next.js : un path traversal exploitable sans authentification quand le serveur tourne sur un filesystem Windows (CVE-2026-75604, CVSS 9.0, aucun workaround), et un heap buffer overflow dans la chaîne sharp/libheif déclenché par une image AVIF malveillante (CVSS v4 9.5). Correctifs : 15.5.24 et 16.3.3. Les déploiements hébergés par Vercel sont protégés.
Rails Active Storage : une faille critique avec lecture de fichiers arbitraires et potentiel de RCE
Une vulnérabilité critique dans le framework Active Storage de Rails permet à un attaquant non authentifié de lire des fichiers arbitraires sur le serveur applicatif, avec un potentiel d'escalade vers l'exécution de code à distance. Affecte les applications Ruby on Rails utilisant Active Storage. Correctif disponible.
Fastjson 1.x CVE-2026-16723 : une RCE critique sans correctif, exploitée activement
Une faille d'exécution de code à distance CVSS 9.0 dans Fastjson 1.2.68–1.2.83 d'Alibaba permet à un attaquant non authentifié d'exécuter du code sur les applications Spring Boot fat-JAR affectées. Aucun AutoType ni gadget de classpath requis. Aucun correctif 1.x disponible à ce jour. Contournement : SafeMode.
Sources
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.