ทีมที่เพิ่งอัปเดต Next.js ตามแพตช์เดือนกันยายนควรตรวจรุ่นอีกครั้ง: ประกาศวันที่ 14 ตุลาคม 2026 ออก 16.4.1 และ 15.5.28 เพื่อแก้ช่องโหว่จาก dependency ต้นน้ำ รวมถึงสองรายการที่เคยเลื่อนการแก้ไขไว้ รอบนี้มีปัญหาระดับ Critical สองรายการและ High หนึ่งรายการ
สำหรับสาย 16 รุ่นที่ประกาศแก้คือ 16.4.1 ส่วนสาย 15.5 คือ 15.5.28 เป็น release สำหรับอัปเดตใช้งาน ไม่ใช่ RC หรือ experimental ทีมควรตรวจรุ่นที่ติดตั้งใน artifact ที่รันจริงด้วย เพราะเลขใน package.json อย่างเดียวอาจยังไม่ตรงกับ lockfile หรือ image ที่ deploy
แยกเงื่อนไขก่อนประเมินผลกระทบ
| จุดที่เกี่ยวข้อง | ผลกระทบตามประกาศ | ข้อจำกัดที่ต้องอ่านให้ครบ |
|---|---|---|
App Router + Cache Components และฟังก์ชัน use cache ที่คืน typed arrays หลายชุด | อาจนำไปสู่การรันโค้ดจากระยะไกลโดยไม่ยืนยันตัวตน ระดับ Critical | ไม่มี workaround ที่ทราบสำหรับกรณีได้รับผลกระทบ; ผู้พัฒนาแนะนำให้อัปเกรดทันทีแม้ไม่พบฟังก์ชันลักษณะนี้ |
| Image Optimization ที่เกี่ยวข้องกับ SVG บน Linux แบบ glibc | ปัญหาหน่วยความจำในไลบรารีต้นน้ำอาจนำไปสู่การรันโค้ดจากระยะไกล ระดับ Critical | วิธีบรรเทาเฉพาะรายการนี้คือให้ sharp ที่ Next.js ใช้เป็น 0.35.5 ขึ้นไป |
| App Router ที่มี Server Action อย่างน้อยหนึ่งตัว | คำขอที่สร้างมาเฉพาะอาจใช้ CPU จน process รับคำขออื่นต่อไม่ได้ ระดับ High | Pages Router หรือแอปที่ไม่ใช้ Server Actions ไม่ได้รับผลกระทบจากรายการนี้; กรณีที่ได้รับผลกระทบต้องอัปเกรด |
รายละเอียดแต่ละแถวอยู่ใน advisory ทางการ: Cache Components, Image Optimization และ Server Actions
ข้อยกเว้นของช่องโหว่หนึ่งไม่ใช่ข้อยกเว้นของทั้งหมด เช่น การใช้ Pages Router ช่วยตัดเงื่อนไข Server Actions ในตาราง แต่ยังต้องประเมิน Image Optimization แยก ส่วนการขยับ sharp อย่างเดียวไม่ได้แก้ปัญหา Cache Components หรือ Server Actions
อัปเดตสายรุ่นที่ใช้อยู่ แล้วตรวจสิ่งที่ deploy
สำหรับโปรเจกต์ npm ที่ใช้สาย 16.4 เลขรุ่นที่ประกาศแนะนำคือ:
npm install next@16.4.1สำหรับโปรเจกต์ที่ใช้สาย 15.5 ให้ใช้คำสั่งนี้แทน:
npm install next@15.5.28เลือกเพียงคำสั่งที่ตรงกับแอป ไม่ต้องรันทั้งคู่ หากใช้ package manager อื่นให้ใช้คำสั่งเทียบเท่าและคง lockfile ของทีมไว้ตรวจ diff สำหรับสายรุ่นเก่าหรือ canary ต้องอ่านช่วงรุ่นใน advisory และวางแผนย้ายแยก ไม่ควรตีความว่าการติดตั้งหมายเลขใดก็ได้ที่มากขึ้นจะแก้ครบ
หลังอัปเดต ให้ build และรันชุดทดสอบของแอป ตรวจหน้า App Router, การอ่านข้อมูลที่ cache, Server Actions และภาพที่ใช้งานจริงตามฟีเจอร์ของระบบ จากนั้นสร้าง artifact ใหม่และยืนยันเวอร์ชันบนระบบที่ deploy แล้ว สำหรับ npm ใช้ npm ls next sharp ช่วยตรวจ dependency tree ได้ แต่ต้องดูว่า sharp ชุดใดเป็นตัวที่ Next.js ใช้จริง
ข่าวนี้สรุปประกาศและ advisory ณ 16 ตุลาคม 2026 ไม่ได้ทดสอบโจมตีหรืออัปเกรดแอป production จึงไม่ใช่หลักฐานว่าเว็บใดถูกโจมตีหรือผ่านการแก้ไขแล้ว การยืนยันผลต้องอาศัยรุ่นที่รันจริงและผลทดสอบของแต่ละระบบ