Next.js紧急补丁来了：16.4.1修了两个严重RCE

Vercel 在 10 月 14 日放出 Next.js 带外安全更新：Active LTS 升到 v16.4.1，Maintenance LTS 升到 v15.5.28。官方原话是请立刻打补丁。[1]

公告里列了三项：两项 Critical 级别的未认证远程代码执行（一个跟 App Router 的 use cache 返回多个 typed arrays 有关，一个跟启用 SVG 的 Image Optimization 在 glibc Linux 上的上游库有关），还有一项 High 级别的 Server Actions 拒绝服务。[1]

没有「我没用类似写法就可以拖」的口子——官方写明即便应用里没有相似函数，也建议马上升级。临时旁路只提到 Image Optimization 那条可把 sharp 提到 0.35.5+，但升级 Next 本身会更干净。[1]

生产环境还停在 16.4.0 / 15.5.x 旧补丁的，今晚排不排得上发一版？

[1] Next.js Security Update for Upstream Vulnerabilities｜Next.js Blog，2026年10月14日。

#Nextjs #前端安全 #RCE #Vercel #Web开发