Что известно о внеплановом патче Next.js 14 октября
- Дата релиза: среда, 14 октября 2026 года. Обновление выйдет вне обычного графика.
- Исправят три уязвимости в сторонних зависимостях: две критические и одну высокого уровня.
- Две из этих уязвимостей планировали закрыть ещё в сентябрьском security-релизе, но отложили из-за координации с авторами upstream-пакетов.
- Полные рекомендации (advisories) опубликуют вместе с обновлением: там будут затронутые версии, описание атак и инструкции по обновлению.
- Номер версии патча пока не назван.
Что проверить перед обновлением Next.js
Дождитесь релиза и обновитесь как можно скорее: критические уязвимости в зависимостях могут затрагивать не только сам Next.js, но и любые проекты, использующие уязвимые пакеты. Если вы работаете с монорепозиторием или сложным lock-файлом, заранее проверьте, какие версии зависимостей у вас зафиксированы. Возможно, потребуется обновить не только Next.js, но и отдельные пакеты.
После выхода advisories сверьте затронутые версии со своими. Если вы используете нестандартную сборку или форк Next.js, проверьте, попадают ли под патч ваши модификации. Для тех, кто не может обновиться сразу, стоит временно ограничить доступ к уязвимым эндпоинтам, если из advisories станет ясен вектор атаки.
