Next.js ออกอัปเดตความปลอดภัยวันที่ 30 กันยายน 2026 โดยระบุรุ่น 16.3.8 สำหรับ Active LTS และ 15.5.27 สำหรับ Maintenance LTS ทีมที่ใช้ Next.js ควรตรวจ dependency ที่ติดตั้งจริงและวางแผนอัปเดตตามสายรุ่นของตน รายละเอียดมาจาก ประกาศของทีม Next.js และหน้า release 16.3.8 กับ 15.5.27

ข่าวนี้เกี่ยวข้องทั้งทีมเว็บและทีมเนื้อหา เพราะบางปัญหาทำให้ข้อมูล preview ที่ยังไม่เผยแพร่ออกไปอยู่ในคำตอบสำหรับผู้ชมทั่วไปได้ อย่างไรก็ตาม ผลกระทบขึ้นกับฟีเจอร์และการตั้งค่าของแต่ละแอป ไม่ได้แปลว่าทุกเว็บที่ใช้ Next.js ถูกโจมตีหรือมีข้อมูลรั่วแล้ว

สามจุดที่ควรไล่ตรวจ

ภาพจาก URL ภายนอก: advisory เรื่อง Image Optimization ระบุปัญหา SSRF ระดับ High เมื่อ URL ที่ผู้โจมตีควบคุมผ่าน allow-list ได้ ระบบอาจถูกชักนำให้เรียกปลายทางภายในเครือข่าย ทีมควรทบทวนโฮสต์ที่ยอมรับใน images.remotePatterns รวมถึงความน่าเชื่อถือของผู้ควบคุม DNS หากไม่ได้ตั้ง images.remotePatterns ประกาศระบุว่าไม่รับผลกระทบจากช่องโหว่นี้ แต่ข้อยกเว้นนี้ไม่ได้ครอบคลุมปัญหาอื่นใน release

หน้า preview ของ CMS: advisory เรื่อง Draft Mode และ use cache ครอบคลุมไซต์ที่เปิด Cache Components หรือ experimental.useCache และมี cached function ที่คืนเนื้อหาตาม Draft Mode หากคำขอผู้ชมกับคำขอบรรณาธิการซ้อนกันบน cache key เดียวกัน ผู้ชมอาจได้รับ draft โดยไม่ต้องยืนยันตัวตน หากคำขอนั้นทำ prerender เนื้อหาอาจคงอยู่ในหน้าที่สร้างไว้จน revalidate นี่จึงเป็นเรื่องที่ทีมเนื้อหาต้องร่วมตรวจด้วย ไม่ใช่ดูเพียงว่าหน้า admin ต้องล็อกอินหรือไม่

เครื่องนักพัฒนา: advisory เรื่อง MCP endpoint ระบุว่า next dev ไม่ตรวจต้นทางเว็บไซต์ของคำขออย่างเหมาะสม เว็บไซต์อันตรายที่นักพัฒนาเปิดอาจอ่านข้อมูลพัฒนา เช่น path โครงการ บางส่วนของโค้ดจาก error report รายการ route และ log ได้ ประเด็นนี้กระทบ development server; production ไม่เปิด endpoint นี้ตามประกาศ

ทำไมล็อกอิน CMS อย่างเดียวจึงไม่พอ

แผนภาพนี้สรุปกลไกก่อนแก้ไขตาม advisory ของโครงการ ไม่ใช่ benchmark หรือผลทดสอบ Reefsight และไม่ได้หมายความว่าระบบ draft ของ CMS ทุกชนิดใช้กลไกนี้ จุดที่ต้องตรวจคือข้อมูลหลังออกจากหน้า preview ถูกส่งผ่าน cache ร่วมกับคำขอปกติหรือไม่

ทีมควรทำอะไรต่อ

ลำดับต่อไปนี้เป็นข้อเสนอสำหรับการทดสอบของทีม ไม่ใช่รายงานว่าเราได้ทดลองอัปเกรดระบบ production แล้ว

  1. ตรวจเวอร์ชัน next ที่ติดตั้งจริงในทุกแอป รวมทั้ง lockfile และ artifact ที่ deploy อยู่ อย่าดูเฉพาะช่วงเวอร์ชันใน package.json
  2. อัปเดตตามสายรุ่นที่โครงการใช้อยู่ โดยใช้รุ่นแก้ไขที่ประกาศเป็นจุดอ้างอิง: 16.3.8 หรือ 15.5.27 ตรวจ release ที่ใหม่กว่าก่อนลงมือจริงด้วย หากใช้สายรุ่นอื่น ต้องตรวจเส้นทางอัปเกรดและความเข้ากันได้แยกต่างหาก
  3. ทดสอบใน staging ด้วยข้อมูลจำลอง ครอบคลุมภาพภายนอก หน้า preview และหน้าสาธารณะ โดยเปิด preview กับหน้าปกติพร้อมกันและตรวจว่าเนื้อหา draft ไม่ปะปน ตรวจหน้าเดิมอีกครั้งหลังสร้าง cache
  4. เมื่อ deploy แล้ว ตรวจเวอร์ชันในระบบที่รันจริงและทดสอบเส้นทางเดิมซ้ำ หากเคยพบเนื้อหาผิดค้างในหน้า ให้ตรวจการ revalidate หรือการล้าง cache ตามระบบที่ใช้ พร้อมเก็บหลักฐานโดยไม่ใส่เนื้อหาลับใน log

ข้อจำกัดที่ต้องอ่านก่อนสรุปว่าปลอดภัย

บทความนี้เลือกอธิบายสามประเด็นที่ทีมเว็บเจอบ่อย ไม่ได้แทนรายการช่องโหว่ทั้งหมด ให้ตรวจ ประกาศเต็ม ตาม Router, ระบบ build และวิธีโฮสต์ของแอปด้วย ประกาศยังระบุว่าการแก้ไขอีกหนึ่งปัญหาระดับ Critical และหนึ่งปัญหาระดับ High ถูกเลื่อนเพราะ dependency ต้นน้ำ จึงไม่ควรสรุปว่า release นี้แก้ทุกประเด็นที่เคยแจ้งล่วงหน้าแล้ว

ณ วันที่ตรวจข้อมูล 6 ตุลาคม 2026 ช่อง Patched versions ใน advisory ที่ลิงก์ข้างต้นยังแสดง 16.3.? บทความจึงอ้างเลขรุ่นจากประกาศ release และหน้า tag ทางการที่ยืนยันตรงกัน ไม่ใช้ช่องดังกล่าวอนุมานช่วงเวอร์ชันที่ได้รับผลกระทบ ผู้ตรวจควรเปิดต้นทางซ้ำก่อนเผยแพร่ โดยเฉพาะเลขรุ่นและเงื่อนไขของแต่ละช่องโหว่