即将发布的 Next.js 安全更新：修复上游严重问题
内容提要
Next.js 上游依赖存在严重安全漏洞，Vercel 计划于2026年9月22日紧急发布 16.3.6 和 15.5.26 版本，完整公告 GHSA-vcvr-r3jv-pc5j 将随更新公布，包含影响范围与升级说明。建议尽快升级。
延伸解读
上游依赖漏洞的连锁风险
此次安全问题并非源自 Next.js 自身代码，而是其上游依赖中的严重漏洞。这意味着影响范围可能超出 Next.js 项目，任何直接或间接使用同一依赖的框架或工具都可能面临风险。开发者需关注完整公告中列出的受影响版本，并检查自身项目是否通过其他路径引入了相同依赖。
紧急更新的时间窗口
Vercel 计划于 2026 年 9 月 22 日以 out-of-band 形式发布 16.3.6 和 15.5.26 版本，即不遵循常规发布周期。这种紧急更新通常意味着漏洞危害较高，修复窗口有限。建议团队提前安排升级计划，在版本发布后尽快评估并部署，避免因延迟而暴露在风险中。
升级前需关注的公告细节
完整公告 GHSA-vcvr-r3jv-pc5j 将随更新一同发布，包含影响范围、受影响版本和升级说明。在升级前，应仔细阅读这些内容，确认当前使用的 Next.js 版本是否在受影响之列，并了解是否存在破坏性变更或额外缓解措施。仅依赖版本号升级可能不足以覆盖所有风险场景。
Q&A
Next.js 即将发布的安全更新是什么？
Next.js 计划于2026年9月22日发布紧急安全更新，版本为16.3.6和15.5.26，修复一个上游依赖中的严重安全问题。
这个安全漏洞影响哪些 Next.js 版本？
文章未明确列出受影响的具体版本，但完整公告 GHSA-vcvr-r3jv-pc5j 将随更新公布，其中包含影响范围。
我应该升级到哪个 Next.js 版本？
建议升级到 Next.js 16.3.6 或 15.5.26，这两个版本将在2026年9月22日发布。
这个安全更新什么时候发布？
计划于2026年9月22日进行带外更新发布。
在哪里可以找到完整的漏洞公告？
完整公告 GHSA-vcvr-r3jv-pc5j 将随更新一起发布，包含影响、受影响版本和升级说明。
Vercel 如何保障 Next.js 的安全？
Vercel 通过开源漏洞赏金计划与安全研究人员合作，保障 Next.js 等开源框架的安全。
