Next.js-Sicherheitslücken im Oktober 2026: Was Online-Shops wissen müssen

Mitte Oktober 2026 wurden mehrere kritische Sicherheitslücken in Next.js bekannt, einem weit verbreiteten Framework für Websites und Web-Anwendungen. selecdoo hat alle betroffenen Systeme bereits aktualisiert und abgesichert. Die folgenden Fragen und Antworten erklären, worum es geht, was selecdoo unternommen hat und was das für Online-Shops bedeutet.

Was ist Next.js?

Next.js ist ein Open-Source-Framework, mit dem Websites und Web-Anwendungen gebaut werden. Viele Unternehmen setzen es ein, darunter auch Online-Shops mit eigenen, individuell entwickelten Storefronts und Plattformen im E-Commerce-Umfeld.

Welche Sicherheitslücken wurden in Next.js entdeckt?

Am 14. Oktober 2026 wurden zwei kritische Lücken veröffentlicht, die jeweils mit 9,5 von 10 Punkten bewertet sind. Die erste betrifft eine Funktion zum Zwischenspeichern von Daten in neueren Next.js-Versionen. Die zweite steckt in einer Bibliothek, die Next.js zur Optimierung von Bildern nutzt, und betrifft Server mit einem gängigen Linux-System. Über beide Lücken konnten Angreifer ohne Anmeldung eigenen Code auf dem betroffenen Server ausführen. Eine dritte, weniger schwere Lücke konnte dazu führen, dass eine Anwendung keine Anfragen mehr beantwortet.

Ist selecdoo von den Sicherheitslücken betroffen?

selecdoo hat die Meldungen direkt nach der Veröffentlichung geprüft und alle Systeme, die Next.js nutzen, auf die abgesicherten Versionen aktualisiert. Die bekannten Lücken sind bei selecdoo damit geschlossen.

Müssen Online-Shops, die mit selecdoo zusammenarbeiten, jetzt etwas tun?

Für die Zusammenarbeit mit selecdoo ist kein Handeln nötig. Tracking, Partnerprogramm und Abrechnung laufen wie gewohnt weiter, die Absicherung erfolgte vollständig auf Seiten von selecdoo.

Sind Shops auf Shopify oder anderen Shopsystemen betroffen?

Die Lücken betreffen ausschließlich Anwendungen, die auf Next.js laufen. Shops auf gehosteten Shopsystemen wie Shopify sind davon nicht direkt betroffen, weil dort ein anderes System zum Einsatz kommt. Anders sieht es bei Shops aus, die selbst eine eigene Storefront mit Next.js betreiben, etwa als sogenannten Headless-Shop.

Was sollten Shops tun, die selbst Next.js einsetzen?

Shops mit eigener Next.js-Anwendung sollten so schnell wie möglich auf eine abgesicherte Version aktualisieren. Für Next.js 16 ist das die Version 16.4.1, für Next.js 15 die Version 15.5.28. Zusätzlich sollte die Bildbibliothek sharp mindestens in Version 0.35.5 laufen. Am besten übernimmt das die verantwortliche Entwicklerin oder die betreuende Agentur.

Warum ist ein Wechsel auf Next.js 16 sinnvoll?

Seit dem 21. Oktober 2026 erhält nur noch Next.js 16 neue Sicherheitsupdates. Die Version 15.5.28 schließt zwar die aktuellen Lücken, künftige Probleme werden für Version 15 aber nicht mehr behoben. Shops, die noch auf Next.js 15 oder älteren Versionen laufen, sollten den Umstieg auf Version 16 deshalb zeitnah planen.

Wie geht selecdoo grundsätzlich mit Sicherheitslücken um?

selecdoo beobachtet laufend die Sicherheitsmeldungen zu den eingesetzten Technologien und spielt wichtige Updates zeitnah ein. Ziel ist, dass Partnershops sich auf ein stabiles und sicheres Partnerprogramm verlassen können, ohne selbst technisch eingreifen zu müssen.