Next.js เตือนล่วงหน้า: 30 ก.ย. จะออก 16.3.7 และ 15.5.27 แก้ 9 ช่องโหว่ มีระดับ Critical 1 ตัว

วันที่ 23 กันยายน 2026 ทีม Next.js (Josh Story, Karim Rahal และ Sebastian Silbermann) ประกาศว่ากำลังเตรียม security release ตามรอบ กำหนดออกวันที่ 30 กันยายน 2026 ตั้งใจแจ้งล่วงหน้าให้ทีมต่าง ๆ มีเวลาวางแผนอัปเกรดก่อนแพตช์ออกจริง ประกาศนี้มาหลังอัปเดตฉุกเฉิน 16.3.6 และ 15.5.26 ที่แก้ช่องโหว่ RCE ใน next/og เมื่อวันที่ 22 กันยายนเพียงวันเดียว

รอบวันที่ 30 กันยายนจะแก้ช่องโหว่ใน Next.js ทั้งหมด 9 รายการ เป็นระดับ critical 1 รายการ, high 2 รายการ, medium 5 รายการ และ low 1 รายการ แพตช์จะออกเป็นเวอร์ชัน 16.3.7 และ 15.5.27 พร้อม advisory ฉบับเต็มที่บอกผลกระทบ เวอร์ชันที่โดน และวิธีอัปเกรด ตอนนี้ยังไม่เปิดเผยรายละเอียดของช่องโหว่แต่ละตัว

สิ่งที่ควรทำตอนนี้คือกันเวลาช่วงวันที่ 30 กันยายนไว้อัปเกรด (ตรงกับวันที่ 1 ตุลาคมตามเวลาออสเตรเลีย) เตรียม pipeline ทดสอบและ deploy ให้พร้อม แพตช์ครอบคลุมทั้งสาย 16.3 ที่เป็น Active LTS และสาย 15.5 ที่เป็น Maintenance LTS ทีมที่ยังอยู่บนเวอร์ชันเก่ากว่านั้นควรเริ่มวางแผนย้ายขึ้นสายที่ยังได้รับแพตช์ และ Next.js ยังเปิดรับรายงานช่องโหว่ผ่าน Vercel's Open Source Bug Bounty บน HackerOne ด้วย