libheif RCE 취약점, Hacktron 발견 및 Next.js·Vercel 긴급 대응

Hacktron이 Next.js 이미지 최적화 경로에서 원격 코드 실행(RCE) 취약점을 발견했다. 조사 결과, 취약점은 Next.js가 아닌 libheif 라이브러리에 존재하며, 악성 AVIF 이미지가 sharp와 libvips를 거쳐 전달되는 구조로 확인됐다.

긴급 대응 및 수정

Vercel은 플랫폼 차원에서 AVIF 최적화를 즉시 비활성화해 중앙 차단했다. Next.js는 자체 호스팅 환경을 위해 8월 25일 보안 릴리스를 통해 AVIF 기능을 일시적으로 비활성화했으며, 이는 libheif 패치 전파 기간 동안의 최선책으로 판단됐다. libheif v1.23.2 릴리스로 RCE 취약점이 최종 수정되었다.

OSS 취약점 급증 추세

2026년 오픈소스 보안 위협이 급격히 증가하고 있다. CVE 프로그램은 35,000개 이상의 취약점을 발표했으며, GitHub의 비공개 취약점 신고는 1월 주당 500건에서 5월 주당 3,000건으로 급증했다. LLM의 취약점 연구 가속화로 인해 libheif와 같은 상류(upstream) 취약점이 더 많이 발생할 것으로 전망된다.