Next.js выпустит патч 3 ноября: семь уязвимостей средней опасности

Во вторник, 3 ноября 2026 года, команда Next.js выпустит плановый релиз безопасности. Он закроет семь уязвимостей, все оценены как средние (medium). Анонс вышел в блоге фреймворка 27 октября. Подробные бюллетени с затронутыми версиями опубликуют только вместе с патчами, поэтому сейчас главное — подготовить проект, чтобы обновиться в тот же день.

Что именно объявили

Запись в блоге Next.js подписали Jamiboy Mohammad и Sebastian Silbermann. В ней три факта: дата релиза, число уязвимостей и их уровень. Описание каждой проблемы, список затронутых версий и инструкции по обновлению команда обещает выложить одновременно с выпуском. До этого момента любые «подробности» в соцсетях — догадки.

Предварительное уведомление — обычная для Next.js практика с лета 2026 года. Так было перед сентябрьским релизом: анонс за неделю, затем выпуск 16.3.8 и 15.5.27. Команда даёт время запланировать окно работ, а не латать сайт ночью.

Как выглядели прошлые релизы

По трём последним выпускам видно, чего ждать: плановые релизы собирают несколько проблем сразу, а критические уязвимости иногда закрывают внеочередным обновлением.

Сентябрьский список хорошо показывает, что «средняя» уязвимость не означает «безобидная». Отравление общего кэша страниц заставляет сайт отдавать всем посетителям чужой контент, пока запись не обновится. Для магазина или личного кабинета это уже инцидент. Подробно октябрьские RCE мы разбирали в статье про Next.js 15.5.28 и 16.4.1.

Кого это касается

• Все, у кого сайт или веб-приложение на Next.js в ветках 16.x (Active LTS) и 15.5.x (Maintenance LTS) — точные версии станут известны 3 ноября.
• Проекты на собственном сервере (self-hosted): часть прошлых проблем касалась только их, а площадка Vercel закрывала их на своей стороне.
• Проекты на ветках старше 15.5: исправления для них обычно не выпускают, такие сайты остаются уязвимыми и после релиза.

Что сделать до вторника

1. Узнайте точную версию: npm ls next в папке проекта или поле next в package.json и lock-файле.
2. Если вы ещё на версии ниже 16.4.1 или 15.5.28, обновитесь сейчас: октябрьские критические уязвимости закрыты только там.
3. Проверьте, что сборка проходит на чистой копии: npm ci и next build без ошибок. Если сборка сломана заранее, в день патча вы потеряете часы.
4. Договоритесь об окне выкладки на 3–4 ноября и о том, кто проверит ключевые страницы: главную, корзину, вход в кабинет, формы заявок.
5. Подготовьте откат: сохраните предыдущую сборку или образ, чтобы вернуть сайт за минуты.
6. 3 ноября прочитайте бюллетени и сверьте, какие функции затронуты: Cache Components, оптимизация изображений, Server Actions, Pages Router.

Наш совет

Мы советуем не ждать «пока кто-то проверит». Проверьте обновление на копии сайта утром 3-го или 4-го ноября и выкатывайте в тот же день. Если у проекта нет тестовой копии и понятного процесса выкладки, это повод его завести: поддержка сайтов на Next.js включает регулярные обновления фреймворка. Быстро оценить, нет ли у сайта других очевидных проблем, поможет полная проверка сайта.