Next.js 16.4 und das Sicherheitsupdate vom Oktober 2026
Next.js 16.4 empfiehlt Cache Components, für den 14. Oktober ist ein Sicherheitsupdate geplant. Was Betreiber mit eigenem Server tun sollten.
rabbitclip-TeamVeröffentlicht: 6 Min. Lesezeit
Kurz gesagt
Next.js 16.4 ist am 6. Oktober 2026 erschienen und empfiehlt Cache Components als beste Wahl für jede Next.js-App. Das Next.js-Team hat außerdem angekündigt, am 14. Oktober 2026, also heute, ein Sicherheitsupdate zu veröffentlichen, das zwei kritische und eine hochgradige Schwachstelle schließt. Wenn Ihre Website mit Next.js gebaut ist und auf Ihrem eigenen Server läuft, ist die Aufgabe dieser Woche klar: Version feststellen, das veröffentlichte Update abwarten, dann testen und einspielen.
Als dieser Artikel geschrieben wurde, war die Versionsnummer des Updates noch nicht veröffentlicht, deshalb nennen wir keine. Laut der Ankündigung liegen die Lücken nicht im eigenen Code von Next.js, sondern in vorgelagerten Abhängigkeiten, die es verwendet.
Unten finden Sie, was 16.4 bringt, was das Oktober-Update ist, was wir aus der früheren Sicherheitsversion vom August lernen können, eine Checkliste für alle, die ihre Website selbst hosten, die häufigsten Fehler und die Fälle, in denen dieser Leitfaden nichts für Sie ist.
Was hat Next.js 16.4 verändert?
In der Ankündigung zu Next.js 16.4 schreibt das Team, dass es Cache Components als beste Wahl für jede Next.js-App empfiehlt. In neuen Apps, die mit create-next-app erstellt werden, ist die Funktion standardmäßig eingeschaltet, und in Next.js 17 wird sie der Standard sein. Cache Components ist die Struktur, mit der Sie trennen können, welche Teile einer Seite vorab vorbereitet und gespeichert und welche erst beim Besuch erzeugt werden.
Die Ankündigung erklärt, dass ensureStatic zur Build-Zeit garantieren kann, dass eine Route vollständig statisch bleibt, und dass sich mit navigation() und prefetch() einzelne Inhalte vom Vorladen ausnehmen lassen. Die Version erscheint zusammen mit React 19.3. Wie sich diese Empfehlung auf bestehende Apps auswirkt, beschreiben die Quellen nicht gesondert; lesen Sie die Ankündigung vor dem Upgrade.
Welche kleineren Neuerungen gibt es auf der Entwicklungsseite?
16.4 verändert auch die Entwicklererfahrung. Laut der Ankündigung führt der Befehl next upgrade --agent ein agentengestütztes Upgrade durch, und die Standardrichtlinie der Einstellung experimental.agentUpgrade lautet security: also eine Upgrade-Erinnerung bei bekannten Schwachstellen.
Auf der React-Seite gehört die Ankündigung zu React 19.3 vom 9. September 2026 zu dieser Version. Das sind Details, die im Arbeitsalltag zu spüren sind; die Besucher einer Website sehen das meiste davon nicht direkt, doch die Arbeit des Entwicklungsteams kann schneller werden.
- Der Turbopack-Festplattencache ist 20–25 % kleiner
- Kleinere Produktionsbündel: kürzere CSS-Module-Klassennamen und Export-Mangling
- React 19.3: View Transitions und Fragment Refs sind stabil
- React 19.3: die browser()-API, Unterstützung für Trusted Types und Context direkt in Server Components
Was schließt das Sicherheitsupdate vom 14. Oktober?
In der Next.js-Ankündigung vom 8. Oktober 2026 heißt es, dass am folgenden Mittwoch, dem 14. Oktober, ein Sicherheitsupdate erscheint, das zwei kritische und eine hochgradige Schwachstelle in vorgelagerten Abhängigkeiten behebt. Wir sprechen also von einem Update, dessen Veröffentlichung für den 14. Oktober geplant ist; beim Schreiben dieses Textes war es noch nicht erschienen.
Wir stellen fest, dass die Ankündigung die Einzelheiten der Lücken in diesem Stadium nicht nennt, und wir spekulieren nicht. Lesen Sie beim Einspielen des Updates die Versionshinweise auf der offiziellen Next.js-Seite und bestätigen Sie die Einzelheiten dort.
Was lehrt uns die Sicherheitsversion vom August?
Am 25. August 2026 erschienen die Sicherheitsversionen 16.3.3 (Active LTS) und 15.5.24 (Maintenance LTS). Es gab zwei kritische Lücken. Die eine erlaubte Remote-Code-Ausführung ohne Authentifizierung, wenn die Image Optimization API AVIF verarbeitete; sie betraf libheif, das von sharp verwendet wird, und der Patch schaltet die AVIF-Optimierung vorübergehend ab.
Die zweite war Remote-Code-Ausführung auf Windows-Servern, in Apps, die Pages Router und App Router zusammen nutzen und keine Cache Components verwenden; Linux und macOS waren nicht betroffen. Die Lehre daraus: Eine Lücke muss nicht im selbst geschriebenen Code liegen. Sie kann in der verwendeten Infrastruktur auftauchen, in Nebenteilen wie der Bildverarbeitung, und ihre Auswirkung kann je nach Hosting-Umgebung unterschiedlich sein.
Was sollten Betreiber tun, die ihre Website selbst hosten?
Wenn Sie Ihre Website auf einem eigenen oder privaten Server betreiben, ist das Einspielen des Updates Aufgabe Ihres eigenen Teams; ein Hosting-Anbieter erledigt das nicht für Sie. Notieren Sie zuerst, welche Next.js-Version Sie verwenden, denn anhand der offiziellen Ankündigung müssen Sie bestätigen, für welche Versionslinien das Update erscheint.
Sobald das Update veröffentlicht ist, bauen Sie es zuerst in einer Testumgebung, probieren die wichtigsten Seiten und Formulare von Hand aus und gehen dann live. Prüfen Sie nach dem Livegang, ob die Website sich öffnet und die Bilder geladen werden. Das Sicherheitsprüfungs-Werkzeug von rabbitclip kann einen schnellen Blick von außen auf die Header Ihrer Website werfen, ersetzt aber kein Versionsupgrade.
- Notieren Sie die verwendete Next.js-Version und Linie
- Bestätigen Sie die veröffentlichte Version auf der offiziellen Ankündigungsseite
- Bauen und testen Sie zuerst in einer Testumgebung
- Prüfen Sie nach dem Livegang Seiten und Bilder
Welche Fehler passieren am häufigsten?
Der häufigste Fehler ist, eine Sicherheitsmeldung zu sehen und sie auf die nächste Woche zu verschieben. Die Einstufung als kritisch besagt, dass das Update nicht auf der gewöhnlichen Wartungsliste warten sollte.
Der zweite ist, das Update ohne Test live zu schalten. Der dritte ist, die Ankündigung zu lesen, aber die eigene Version nicht zu kennen; wer nicht weiß, auf welcher Linie er sich befindet, weiß auch nicht, welcher Patch der eigene ist.
- Das Sicherheitsupdate aufschieben
- Ohne Test live gehen
- Die eigene Version nicht kennen
- Cache Components beim Update in Eile einschalten
Wann ist dieser Leitfaden nichts für Sie?
Wenn Ihre Website nicht mit Next.js gebaut ist, betrifft Sie dieser Artikel nicht. Wenn sie mit Next.js gebaut ist, aber auf einer von einem Hosting-Anbieter verwalteten Plattform läuft, kann es genügen, Ihren Anbieter zu fragen, wie das Update eingespielt wird.
Die falsche Entscheidung wäre, das Sicherheitsupdate am selben Tag wie den Umstieg auf Cache Components durchzuführen. Halten Sie beides getrennt: Spielen Sie zuerst den Patch ein und erledigen Sie den Umstieg als geplante, eigene Arbeit.
Kurz gesagt: Next.js 16.4 empfiehlt Cache Components, und am 14. Oktober ist ein Sicherheitsupdate fällig, das zwei kritische und eine hochgradige Schwachstelle schließen soll. Für alle, die ihre Website selbst hosten, ist die Reihenfolge einfach: Version feststellen, das veröffentlichte Update auf der offiziellen Seite bestätigen, testen und einspielen. Wenn Sie diese Arbeit gemeinsam für Ihre Website planen möchten, führen wir bei rabbitclip gern ein ruhiges Erstgespräch mit Ihnen.
Häufige Fragen
Ist das Upgrade auf Next.js 16.4 verpflichtend?
Unsere Quellen erwähnen keine solche Pflicht. 16.4 empfiehlt Cache Components, aber ein Sicherheitspatch und ein Versionsupgrade sind getrennte Themen. Es genügt, zuerst den Patch einzuspielen.
Wie lautet die Versionsnummer des Updates vom 14. Oktober?
Die Versionsnummer war beim Schreiben noch nicht veröffentlicht. Verfolgen Sie das Update auf der offiziellen Ankündigungsseite von Next.js.
Werden Cache Components in Next.js 17 verpflichtend?
Laut der Ankündigung werden sie in Next.js 17 standardmäßig eingeschaltet sein. Ob sie verpflichtend werden, dazu sagen unsere Quellen nichts.
Waren auf Windows gehostete Websites von der Lücke im August betroffen?
Laut der Augustankündigung waren Apps betroffen, die auf Windows gehostet werden, Pages Router und App Router zusammen nutzen und keine Cache Components verwenden. Linux und macOS waren nicht betroffen.
Quellen
Die konkreten Angaben in diesem Beitrag beruhen auf diesen offiziellen Seiten; prüfen Sie dort den aktuellen Stand.
