Уязвимость Next.js в октябре 2026: версии и как обновить

25 октября 2026 я проверил семь своих Next.js-сайтов, которые сам хостю, и шесть из них оказались уязвимыми. Портфолио, которое вы читаете, стояло на 16.2.10. Причина: уязвимость Next.js, которую команда закрыла внеплановым релизом 14 октября. Две критические уязвимости удалённого выполнения кода (RCE) и один отказ в обслуживании.

Дальше: какие версии затронуты, как проверить свою за пару минут, что я поменял и что оставил как есть. По Instagram и LinkedIn ходит ролик про безопасность с 15 идентификаторами, и одна подпись в нём неверна. Для обновления это важно, поэтому начну с неё.

Уязвимость Next.js от 14 октября: что исправили#

Источник: официальное обновление безопасности Next.js от 14 октября 2026 и связанные бюллетени GitHub. Исправленные версии: 16.4.1 и 15.5.28. На 25 октября последняя в npm: 16.4.3.

Приложения на Pages Router без Server Actions третьей уязвимости не подвержены. Для первой и третьей обходных путей нет. По первой Vercel советует обновляться, даже если такой функции у вас нет. Так я и сделал.

CVE-2026-96889 не относится к Next.js#

В ролике это «Next.js CVE-2026-96889». В записи написано другое: это use-after-free в librsvg («xml includes have duplicated entities»), опубликована 23 сентября, CNA — Red Hat, CVSS v3.1 7.8. В Next.js она попадает через sharp, который рисует SVG через librsvg. Бюллетень по sharp: GHSA-wq5f-xc86-pv6w, затронуты версии ниже 0.35.5.

Почему подпись важна? Потому что от неё зависит лечение. Одна мера: обновить next. Вторая: убедиться, что sharp не ниже 0.35.5. И тут ловушка: next@16.4.3 зависит от sharp ^0.35.5, а next@15.5.28 допускает ^0.34.3 || ^0.35.5. На 15.x после обновления lockfile спокойно оставит sharp 0.34.x. У меня так и было, поэтому sharp я теперь закрепляю явно.

Ещё два факта, пока вы не запаниковали. Ни один из 15 идентификаторов из ролика не входит в каталог CISA KEV (сверял с версией от 23 октября), а оценка CISA ADP по эксплуатации везде «none», кроме этой уязвимости: у неё «poc». «Чёрный октябрь» — не именованная кампания, а набор настоящих бюллетеней безопасности (nginx, Next.js, GitLab, PHP, Node.js, Java), вышедших в пределах двух недель. Остальной список разобран в обзоре CVE октября 2026.

Как проверить версию Next.js и свою уязвимость#

Тому, что здесь показывает браузер, я не верю. Смотрите lockfile и работающий контейнер:

npm ls next sharp                  # pnpm: pnpm why next
npm view next dist-tags            # что сейчас актуально в npm
npm audit --omit=dev               # pnpm: pnpm audit --prod
docker run --rm <image> node -v    # версия Node внутри образа

Потом три grep, чтобы понять, какой бюллетень реально про вас:

grep -rn "use cache" app src       # первая уязвимость RCE
grep -rn "use server" app src      # DoS через Server Actions
grep -n dangerouslyAllowSVG next.config.*   # путь через SVG

Нет use cache: первая дыра до вас не дотянется, но обновиться всё равно стоит. Нет "use server": DoS вам не грозит. А dangerouslyAllowSVG: true в конфиге — то, на что я бы смотрел внимательнее всего.

Как обновить: Next.js, sharp, zod, Node в Docker#

Что я делал, по порядку:

npm install next@16.4.3            # если у вас 16.x
npm install next@15.5.28           # если у вас 15.x
npm install sharp@^0.35.5          # явное закрепление

1. Next.js. 16.x до 16.4.3, 15.x до 15.5.28. Если вы пропускали сентябрьские обновления, вспомните прежние бюллетени: RCE на серверах под Windows (CVE-2026-75604, исправлено в 15.5.24 и 16.3.3), RCE в Image Optimization с AVIF (те же версии) и RCE в next/og ImageResponse (CVE-2026-94545, исправлено в 16.3.6). Прыжок сразу на актуальные версии закрывает все.
2. sharp. Закрепите ^0.35.5 по причине выше. Прежние бюллетени по sharp (libvips в GHSA-f88m-g3jw-g9cj, libheif в GHSA-rgj7-g3m4-5g8c) этим же закрепом покрываются.
3. zod. Раз уж я был в lockfile, поднял zod 4.x до 4.6.6 и выше: GHSA-mrhx-c7xc-m3w5, исчерпание памяти на слишком больших ограниченных коллекциях.
4. Node в Docker. 21 октября вышли Node.js 22.23.4, 24.22.1 и 26.12.1 (официальный пост), в них четыре high: запись за границы в декодере Brotli, обрезание имён по NUL-символу в dns.resolve* и два обхода проверки имени хоста в TLS. Работающий контейнер сам не обновится, образ нужно пересобрать.
5. SVG. Если через next/image у вас не проходит ни один SVG, верните images.dangerouslyAllowSVG в false.

С Docker я споткнулся дважды. Базовый образ портфолио был закреплён по digest на старой сборке node:22. Пин замораживает всё, включая патчи безопасности, а процесса ротации у меня не было. Другой сайт до сих пор работал на node:20: он снят с поддержки с апреля 2026 и исправлений не получает вовсе. Плавающий node:22-slim тоже не спасает: образ может прийти из кэша сборочного хоста, и пересборка не подтянет свежий патч. Надёжный вариант — явный тег из зеркала AWS:

FROM public.ecr.aws/docker/library/node:22.23.4-slim AS base

Вариант (slim, alpine) берите тот, что у вас уже есть. После сборки docker run --rm <image> node -v должен вывести v22.23.4. Та же логика работает для всего, что вы хостите сами; про это я писал в заметке о самохостинге ClewWiki.

Что нашлось на моих семи сайтах#

Мой стенд: семь Next.js-сайтов в Docker на одном сервере, выкатка через Dokploy, спереди Traefik. nginx, PHP, Java и GitLab на сервере нет, поэтому большая часть октябрьского списка меня не касалась.

Больше всего мне не нравится находка в next.config.js портфолио. Там стояло images.dangerouslyAllowSVG: true с песочницей в CSP, а за всё время ни один SVG через next/image не проходил. Открытая дорога именно к SVG-уязвимости при нулевой пользе. Выключил.

Что осталось#

После обновления остальные high в npm audit относятся только к сборке: цепочка workbox и next-pwa и postcss внутри next. Они работают только пока собирается Docker-образ, а не в серверном процессе, так что в рантайме у атакующего к ним нет пути. Я оставил их до следующего цикла зависимостей и пишу об этом прямо, не изображая чистый отчёт. Ещё один честный пробел: само портфолио сидит на zod 3, а исправление zod есть только в 4.6.6. Две его схемы проверяют короткие строки с ограничением длины, а не коллекции, так что багу с памятью там не за что зацепиться; переход на zod 4 записан в список дел. Пути RCE из этого набора закрыты на всех семи.

Всё за пределами моего стека я не трогал. У nginx 1.30.6 и 1.31.7, PHP 8.5.12 с соседними ветками, GitLab и Java свои исправления, детали в обзоре, ссылка на который выше.

Чек-лист#

1. npm ls next sharp показывает next 16.4.1+ (актуальная 16.4.3) или 15.5.28 и sharp 0.35.5 или новее.
2. В npm audit --omit=dev нет critical.
3. dangerouslyAllowSVG выключен, если вы не отдаёте SVG через next/image.
4. zod 4.6.6 или новее.
5. В Dockerfile явный тег node:22.23.4-*, а не старый digest и не node:20.
6. Образ пересобран, node -v внутри совпадает.
7. После выкатки трафик отдаёт именно новая сборка, а не закэшированная.

Если у вас десять минут, сделайте пункты 1, 3 и 5. Они закрывают две критические уязвимости удалённого выполнения кода и тот патч, который заморозил мой собственный пин.