Next.js 16.4 et la mise à jour de sécurité d'octobre 2026
Next.js 16.4 recommande Cache Components et une mise à jour de sécurité est prévue le 14 octobre. Ce que doivent faire ceux qui hébergent eux-mêmes leur site.
Équipe rabbitclipPublié: 7 min de lecture
En bref
Next.js 16.4 est sorti le 6 octobre 2026 et recommande Cache Components comme meilleur choix pour toute application Next.js. L'équipe de Next.js a aussi annoncé qu'elle prévoyait de publier le 14 octobre 2026, c'est-à-dire aujourd'hui, une mise à jour de sécurité corrigeant deux vulnérabilités critiques et une vulnérabilité de gravité élevée. Si votre site est développé avec Next.js et fonctionne sur votre propre serveur, la tâche de cette semaine est claire : connaître votre version, attendre la mise à jour publiée, puis la tester et l'appliquer.
Au moment de la rédaction de cet article, le numéro de version de cette mise à jour n'était pas encore publié ; nous n'en donnons donc aucun. Selon l'annonce, les failles ne se trouvent pas dans le code propre de Next.js, mais dans les dépendances en amont qu'il utilise.
Vous trouverez ci-dessous ce qu'apporte la 16.4, ce qu'est la mise à jour d'octobre, ce que nous apprend la précédente version de sécurité d'août, une liste de contrôle pour ceux qui hébergent eux-mêmes leur site, les erreurs les plus fréquentes et les cas où ce guide n'est pas fait pour vous.
Qu'est-ce que Next.js 16.4 a changé ?
Dans l'annonce de Next.js 16.4, l'équipe écrit qu'elle recommande Cache Components comme meilleur choix pour toute application Next.js. Dans les nouvelles applications créées avec create-next-app, la fonctionnalité est activée par défaut, et elle le sera par défaut dans Next.js 17. Cache Components est la structure qui permet de distinguer les parties d'une page préparées et stockées à l'avance de celles produites à l'arrivée du visiteur.
L'annonce explique qu'ensureStatic permet de garantir à la compilation qu'une route reste entièrement statique, et que navigation() et prefetch() permettent d'écarter certains contenus du préchargement. La version arrive avec React 19.3. Les sources ne décrivent pas séparément l'effet de cette recommandation sur les applications existantes ; lisez l'annonce avant de mettre à niveau.
Quelles petites nouveautés côté développement ?
La 16.4 modifie aussi l'expérience des développeurs. D'après l'annonce, la commande next upgrade --agent effectue une mise à niveau assistée par un agent, et la politique par défaut du réglage experimental.agentUpgrade est security : c'est-à-dire un rappel de mise à niveau contre les vulnérabilités connues.
Côté React, l'annonce de React 19.3 du 9 septembre 2026 fait partie de cette version. Ce sont des détails qui se ressentent dans le travail quotidien ; le visiteur d'un site n'en voit directement que peu, mais le travail de l'équipe de développement peut s'accélérer.
- Le cache disque de Turbopack est plus petit de 20–25 %
- Des bundles de production plus petits : noms de classes CSS Module plus courts et export mangling
- React 19.3 : View Transitions et Fragment Refs deviennent stables
- React 19.3 : l'API browser(), la prise en charge de Trusted Types et Context utilisé directement dans les Server Components
Que corrigera la mise à jour de sécurité du 14 octobre ?
L'annonce de Next.js du 8 octobre 2026 indique que, le mercredi suivant, le 14 octobre, une mise à jour de sécurité sera publiée pour traiter deux vulnérabilités critiques et une vulnérabilité de gravité élevée dans des dépendances en amont. Nous parlons donc d'une mise à jour dont la publication est prévue le 14 octobre ; elle n'était pas encore sortie au moment de la rédaction.
Nous constatons que l'annonce ne donne pas, à ce stade, le détail des failles, et nous ne faisons pas de conjectures. Quand vous appliquerez la mise à jour, lisez les notes de version sur la page officielle de Next.js et confirmez-y les détails.
Que nous apprend la version de sécurité d'août ?
Le 25 août 2026 sont sorties les versions de sécurité 16.3.3 (Active LTS) et 15.5.24 (Maintenance LTS). Il y avait deux failles critiques. L'une permettait l'exécution de code à distance sans authentification lorsque l'Image Optimization API traitait de l'AVIF ; elle concernait libheif, utilisé par sharp, et le correctif désactive temporairement l'optimisation AVIF.
La seconde était une exécution de code à distance sur les serveurs hébergés sous Windows, dans les applications qui utilisent ensemble le Pages Router et l'App Router et n'utilisent pas Cache Components ; Linux et macOS n'étaient pas touchés. La leçon à en tirer : une faille ne se trouve pas forcément dans le code que vous avez écrit vous-même. Elle peut apparaître dans l'infrastructure que vous utilisez, dans des composants annexes comme le traitement d'images, et son effet peut varier selon l'environnement d'hébergement.
Que doit faire celui qui héberge lui-même son site ?
Si vous exploitez votre site sur votre propre serveur ou sur un serveur privé, appliquer la mise à jour est la tâche de votre propre équipe ; un hébergeur ne le fera pas à votre place. Notez d'abord la version de Next.js que vous utilisez, car vous devrez confirmer dans l'annonce officielle quelles lignes de versions la mise à jour concernera.
Quand la mise à jour est publiée, compilez-la d'abord dans un environnement de test, essayez à la main les pages principales et les formulaires, puis mettez en production. Après la mise en ligne, vérifiez que le site s'ouvre et que les images se chargent. L'outil d'audit de sécurité de rabbitclip peut donner un coup d'œil rapide de l'extérieur aux en-têtes de votre site, mais il ne remplace pas la mise à niveau de la version.
- Notez la version et la ligne de Next.js que vous utilisez
- Confirmez la version publiée sur la page d'annonce officielle
- Compilez et testez d'abord dans un environnement de test
- Après la mise en ligne, vérifiez les pages et les images
Quelles erreurs commet-on le plus souvent ?
L'erreur la plus courante est de voir une annonce de sécurité et de la reporter à la semaine suivante. Une gravité critique signifie que la mise à jour ne doit pas attendre dans la liste de maintenance ordinaire.
La deuxième est de mettre en production la mise à jour sans l'avoir essayée. La troisième est de lire l'annonce sans connaître sa propre version ; si vous ne savez pas sur quelle ligne vous êtes, vous ne pouvez pas savoir quel correctif est le vôtre.
- Reporter la mise à jour de sécurité
- Mettre en production sans tester
- Ne pas connaître sa propre version
- Activer Cache Components dans la précipitation pendant la mise à jour
Quand ce guide n'est-il pas fait pour vous ?
Si votre site n'est pas développé avec Next.js, cet article ne vous concerne pas. S'il est développé avec Next.js mais fonctionne sur une plateforme gérée par un hébergeur, il peut suffire de demander à votre hébergeur comment la mise à jour sera appliquée.
Le mauvais choix serait de faire la mise à jour de sécurité le même jour que le passage à Cache Components. Gardez les deux séparés : appliquez d'abord le correctif, puis faites le passage comme un travail planifié et distinct.
En bref, Next.js 16.4 recommande Cache Components, et une mise à jour de sécurité censée corriger deux vulnérabilités critiques et une vulnérabilité de gravité élevée est attendue le 14 octobre. Pour ceux qui hébergent eux-mêmes leur site, l'ordre est simple : connaître sa version, confirmer la mise à jour publiée sur la page officielle, la tester et l'appliquer. Si vous souhaitez planifier ce travail avec nous pour votre site, nous serons ravis d'avoir avec vous un entretien de découverte, dans le calme, chez rabbitclip.
Questions fréquentes
La mise à niveau vers Next.js 16.4 est-elle obligatoire ?
Nos sources ne mentionnent aucune obligation de ce genre. La 16.4 recommande Cache Components, mais un correctif de sécurité et une mise à niveau de version sont deux sujets distincts. Appliquer d'abord le correctif suffit.
Quel est le numéro de version de la mise à jour du 14 octobre ?
Le numéro de version n'était pas encore publié au moment de la rédaction. Suivez la mise à jour sur la page d'annonce officielle de Next.js.
Cache Components deviendra-t-il obligatoire dans Next.js 17 ?
D'après l'annonce, il sera activé par défaut dans Next.js 17. Nos sources ne disent rien sur son éventuel caractère obligatoire.
Les sites hébergés sous Windows ont-ils été touchés par la faille d'août ?
D'après l'annonce d'août, les applications hébergées sous Windows, utilisant ensemble le Pages Router et l'App Router et n'utilisant pas Cache Components, étaient touchées. Linux et macOS ne l'étaient pas.
Sources
Les informations concrètes de cet article s'appuient sur ces pages officielles ; vérifiez-y la situation actuelle.
