即将发布的 Next.js 安全更新：修复上游依赖漏洞
原文英文，约200词，阅读约需1分钟。
📝
内容提要
Next.js 将于2026年10月14日发布带外安全更新，修复上游依赖中的三个漏洞：两个严重、一个高危。其中两个修复因上游协调从9月安全版本推迟。官方将随更新发布完整公告，说明影响、受影响版本及升级方法，建议尽快升级。安全研究可通过Vercel开源漏洞赏金计划参与。
🔎
延伸解读
更新为何推迟
文章指出，两个修复因上游协调而从9月安全版本推迟。这意味着漏洞修复涉及Next.js之外的依赖项目，需要多方同步，因此无法按原计划发布。这种协调延迟在开源生态中常见，但可能延长风险暴露时间，用户需关注后续公告。
漏洞等级与影响
本次更新修复三个上游依赖漏洞，其中两个为严重级别，一个为高危。严重漏洞通常可能被远程利用，导致数据泄露或服务中断。由于具体影响和受影响版本尚未公布，用户应留意10月14日的完整公告，以评估自身项目风险。
升级建议与时间点
官方建议在更新发布后尽快升级到修补版本。更新定于2026年10月14日（周三）发布，属于带外安全更新，不遵循常规发布周期。用户应提前规划升级窗口，避免因延迟升级而暴露于已知漏洞。
安全研究参与途径
文章提到，安全研究人员可通过Vercel的开源漏洞赏金计划参与Next.js等框架的安全建设。如有疑问，可联系security@vercel.com。这为希望贡献安全力量的研究者提供了官方渠道，也体现了项目对社区协作的重视。
❓
Q&A
Next.js 什么时候发布安全更新？
Next.js 计划于2026年10月14日发布带外安全更新。
这次安全更新修复了哪些漏洞？
修复了上游依赖中的三个漏洞：两个严重漏洞和一个高危漏洞。
为什么有些修复被推迟了？
其中两个修复因上游协调而从9月安全版本推迟。
更新发布后会提供哪些信息？
官方将随更新发布完整公告，包括影响、受影响版本和升级方法。
用户应该怎么做？
建议在更新可用后尽快升级到修补版本。
如何参与 Next.js 的安全研究？
可以通过 Vercel 的开源漏洞赏金计划参与。
🏷️
