ทีม Next.js แจ้งล่วงหน้าเมื่อ 27 ตุลาคม 2026 ว่าเตรียมปล่อยแพตช์ความปลอดภัยตามรอบปกติในวันอังคารที่ 3 พฤศจิกายน 2026 โดยรอบนี้จะแก้ช่องโหว่ระดับ Medium ทั้งหมดเจ็ดรายการ ตอนนี้ยังไม่มีรายละเอียดของแต่ละช่องโหว่และยังไม่ระบุเลขรุ่นที่ได้รับการแก้ไข สิ่งที่แต่ละทีมพอจะเตรียมตัวล่วงหน้าได้ตอนนี้ คือการจัดสรรทีม เผื่อเวลา และเช็กให้ชัวร์ว่าระบบของเรากำลังรันรุ่นไหนอยู่จริง
เกิดอะไรขึ้น
ประกาศรอบนี้เป็นการแจ้งเตือนล่วงหน้า ไม่ใช่ตัวแพตช์ โดยทีม Next.js ระบุว่าจะปล่อย advisory ฉบับเต็มพร้อมกับตัวรีลีส ซึ่งจะสรุปทั้งผลกระทบ รุ่นที่ได้รับผลกระทบ และวิธีอัปเกรด พร้อมแนะนำให้อัปเกรดทันทีที่รุ่นแก้ไขปล่อยออกมา
การแจ้งล่วงหน้านี้เป็นไปตามโปรแกรมออกแพตช์ความปลอดภัยที่ประกาศเมื่อ 13 กรกฎาคม 2026 ซึ่งมีแนวทางหลักคือจะแจ้งล่วงหน้าราวเดือนละครั้ง พร้อมระบุกำหนดวันปล่อยและระดับความรุนแรงสูงสุดที่คาดไว้ เพื่อให้แต่ละทีมวางแผนอัปเกรดล่วงหน้าได้ และเปิดทางให้ผู้ให้บริการโฮสติ้งเตรียมมาตรการป้องกันให้กับแอปที่ยังไม่ได้อัปเกรด ส่วนกรณีเร่งด่วนหรือช่องโหว่ที่พบการโจมตีจริงแล้ว ทีมงานอาจปล่อยแพตช์นอกรอบได้ตามความจำเป็น
สำหรับรอบล่าสุดก่อนหน้านี้คือแพตช์นอกรอบวันที่ 14 ตุลาคม 2026 ที่ปล่อยรุ่น 16.4.1 (Active LTS) และ 15.5.28 (Maintenance LTS) ออกมา ซึ่งเราเคยสรุปรอบนั้นไว้แล้ว หากทีมไหนยังไม่ได้อัปเดตรอบดังกล่าว แนะนำให้รีบจัดการก่อนได้เลยโดยไม่ต้องรอถึงวันที่ 3 พฤศจิกายน เพราะรอบเดือนตุลาคมมีช่องโหว่ระดับ Critical รวมอยู่ด้วย
ใครได้รับผล
ตอนนี้ยังตอบไม่ได้แน่ชัดว่าแอปรูปแบบไหนจะได้รับผลกระทบจากเจ็ดรายการนี้ เนื่องจากประกาศยังไม่เปิดเผยรายละเอียด จึงอย่าเพิ่งด่วนสรุปไปเองว่าแอปปลอดภัยเพียงเพราะไม่ได้เปิดใช้ฟีเจอร์ใดฟีเจอร์หนึ่ง และอย่าเพิ่งมองว่าทุกแอปจะได้รับผลกระทบทั้งหมด ทางที่ดีควรรออ่าน advisory ตัวเต็มก่อน
กลุ่มที่ควรเริ่มเตรียมความพร้อมทันที คือทีมที่ดูแล Next.js บน production ด้วยตัวเอง โดยเฉพาะทีมที่มีหลายแอปหรือมีรอบ deploy ที่ต้องผ่านขั้นตอนอนุมัติหลายขั้น เพราะหากเตรียมกระบวนการไว้ล่วงหน้า จะช่วยลดระยะเวลาตั้งแต่แพตช์ออกไปจนถึงตอน deploy จริงได้มาก
ส่วนทีมที่รันแอปบนแพลตฟอร์มโฮสติ้งของผู้ให้บริการต่าง ๆ ก็ยังต้องอัปเกรดโค้ดด้วยตัวเองอยู่ดี และระดับ Medium ก็ไม่ได้หมายความว่าจะผัดผ่อนไปได้เสมอไป การตัดสินใจควรนำรายละเอียดใน advisory มาเทียบกับสถาปัตยกรรมของแอปเราเป็นหลัก
ควรทำอะไร
ก่อนถึงวันที่ 3 พฤศจิกายน แต่ละทีมสามารถเตรียมความพร้อมได้ดังนี้
- ทำรายการแอป ลิสต์ดูว่ามีโปรเจกต์ไหนรัน Next.js อยู่บ้าง ครอบคลุมทั้งเว็บภายใน หน้า admin และโปรเจกต์เก่าที่ยังเปิดใช้งานอยู่
- ตรวจรุ่นที่รันจริง ตรวจสอบจาก lockfile และ image ที่ deploy ขึ้นระบบจริง ไม่ดูจาก
package.jsonเพียงอย่างเดียว โดยใช้คำสั่งnpm ls nextช่วยเช็กรุ่นที่ติดตั้งจริงในโปรเจกต์ได้ - อัปเดตค้างเก่าให้จบ หากยังใช้รุ่นที่ต่ำกว่า 16.4.1 หรือ 15.5.28 แนะนำให้อัปเดตก่อนเลย เพื่อให้การขยับรุ่นในรอบถัดไปมีการเปลี่ยนแปลงน้อยที่สุด
- เผื่อเวลาและคนไว้ กำหนดผู้รับผิดชอบที่จะเข้ามาอ่าน advisory ทดสอบบน staging และ deploy จริง โดยเผื่อเรื่องเขตเวลาไว้ด้วย เพราะวันเวลาตามประกาศต้นทางอาจตรงกับช่วงเช้าของวันที่ 4 พฤศจิกายนในไทย
- เตรียมชุดทดสอบ ลิสต์เส้นทางหลักที่ต้องทดสอบหลังอัปเกรด เช่น หน้าแรก ระบบล็อกอิน ฟอร์มสำคัญ และหน้าที่ใช้งานแคช
- ติดตามแหล่งทางการ ปักหมุดรอเช็กที่บล็อก Next.js ในวันออกแพตช์ และยึดเลขรุ่นตามที่ระบุใน advisory ฉบับจริงเท่านั้น
เมื่อแพตช์ออกมาแล้ว ให้เริ่มจากการอ่านเงื่อนไขของแต่ละ advisory เทียบกับแอปของเรา จากนั้นค่อยอัปเกรด ทดสอบ deploy และตรวจเช็กรุ่นบนระบบจริงอีกครั้ง
ข้อจำกัด
ข้อมูลที่ยืนยันได้แน่นอนในตอนนี้ มีเพียงกำหนดวัน จำนวนช่องโหว่ และระดับความรุนแรงตามประกาศล่วงหน้าเท่านั้น โดยยังไม่ได้ระบุรายละเอียดช่องโหว่ เลข CVE เวอร์ชันที่แก้ หรือสายรุ่นที่จะได้รับแพตช์ บทความนี้จึงไม่คาดเดาข้อมูลที่ยังไม่ชัดเจนเหล่านั้น
นอกจากนี้ กำหนดการอาจมีการเปลี่ยนแปลงได้ เช่นรอบเดือนสิงหาคมที่เคยเลื่อนขึ้นมาเร็วกว่าเดิม แต่ละทีมจึงควรกลับไปเช็กบล็อกทางการอีกครั้งเมื่อใกล้ถึงวันจริง และ Reefsight ยังไม่ได้ทดสอบแพตช์นี้เองเพราะยังไม่มีการปล่อยออกมา