Next.js 16.4 e l'aggiornamento di sicurezza di ottobre 2026
Next.js 16.4 consiglia Cache Components e il 14 ottobre è previsto un aggiornamento di sicurezza. Cosa deve fare chi ospita il proprio sito, passo dopo passo.
Team rabbitclipPubblicato: 6 min di lettura
In breve
Next.js 16.4 è uscito il 6 ottobre 2026 e consiglia Cache Components come scelta migliore per ogni applicazione Next.js. Il team di Next.js ha inoltre annunciato che prevede di pubblicare il 14 ottobre 2026, cioè oggi, un aggiornamento di sicurezza che chiude due vulnerabilità critiche e una di gravità alta. Se il suo sito è realizzato con Next.js e gira sul suo server, il compito di questa settimana è chiaro: scoprire la sua versione, attendere l'aggiornamento pubblicato, poi testarlo e applicarlo.
Quando è stato scritto questo articolo, il numero di versione dell'aggiornamento non era ancora stato pubblicato, quindi non lo indichiamo. Secondo l'annuncio, le falle non sono nel codice di Next.js, ma nelle dipendenze a monte che utilizza.
Qui sotto trova cosa porta la 16.4, cos'è l'aggiornamento di ottobre, cosa possiamo imparare dalla precedente versione di sicurezza di agosto, una lista di controllo per chi ospita da sé il proprio sito, gli errori più frequenti e i casi in cui questa guida non fa per lei.
Cosa ha cambiato Next.js 16.4?
Nell'annuncio di Next.js 16.4 il team scrive di consigliare Cache Components come scelta migliore per ogni applicazione Next.js. Nelle nuove applicazioni create con create-next-app la funzione è attiva per impostazione predefinita, e lo sarà di default in Next.js 17. Cache Components è la struttura che permette di distinguere quali parti di una pagina vengono preparate e salvate in anticipo e quali vengono prodotte quando arriva un visitatore.
L'annuncio spiega che ensureStatic può garantire in fase di build che una route resti completamente statica, e che navigation() e prefetch() consentono di escludere alcuni contenuti dal precaricamento. La versione arriva insieme a React 19.3. Le fonti non descrivono separatamente come questa raccomandazione influisca sulle applicazioni esistenti; legga l'annuncio prima di aggiornare.
Quali novità minori arrivano sul lato dello sviluppo?
La 16.4 cambia anche l'esperienza degli sviluppatori. Secondo l'annuncio, il comando next upgrade --agent esegue un aggiornamento assistito da un agente, e la politica predefinita dell'impostazione experimental.agentUpgrade è security: ossia un promemoria di aggiornamento contro le vulnerabilità note.
Sul lato React, l'annuncio di React 19.3 del 9 settembre 2026 fa parte di questa versione. Sono dettagli che si sentono nel lavoro quotidiano; il visitatore di un sito non ne vede direttamente la maggior parte, ma il lavoro del team di sviluppo può diventare più rapido.
- La cache su disco di Turbopack è più piccola del 20–25%
- Bundle di produzione più piccoli: nomi di classe dei CSS Module più brevi ed export mangling
- React 19.3: View Transitions e Fragment Refs diventano stabili
- React 19.3: l'API browser(), il supporto a Trusted Types e Context usato direttamente nei Server Components
Cosa chiuderà l'aggiornamento di sicurezza del 14 ottobre?
L'annuncio di Next.js dell'8 ottobre 2026 dice che il mercoledì successivo, il 14 ottobre, verrà pubblicato un aggiornamento di sicurezza che affronta due vulnerabilità critiche e una di gravità alta nelle dipendenze a monte. Parliamo quindi di un aggiornamento la cui pubblicazione è prevista per il 14 ottobre; al momento della stesura non era ancora uscito.
Notiamo che l'annuncio non fornisce in questa fase i dettagli delle falle, e non facciamo congetture. Quando applicherà l'aggiornamento, legga le note di rilascio sulla pagina ufficiale di Next.js e confermi lì i dettagli.
Cosa ci insegna la versione di sicurezza di agosto?
Il 25 agosto 2026 sono uscite le versioni di sicurezza 16.3.3 (Active LTS) e 15.5.24 (Maintenance LTS). C'erano due falle critiche. Una consentiva l'esecuzione di codice remoto senza autenticazione quando l'Image Optimization API elaborava AVIF; riguardava libheif, usata da sharp, e la patch disattiva temporaneamente l'ottimizzazione AVIF.
La seconda era un'esecuzione di codice remoto sui server ospitati su Windows, nelle applicazioni che usano insieme il Pages Router e l'App Router e non usano Cache Components; Linux e macOS non erano colpiti. La lezione è questa: una falla può non trovarsi nel codice che ha scritto lei stesso. Può comparire nell'infrastruttura che utilizza, in parti accessorie come l'elaborazione delle immagini, e il suo effetto può variare a seconda dell'ambiente di hosting.
Cosa deve fare chi ospita da sé il proprio sito?
Se gestisce il suo sito su un server proprio o privato, applicare l'aggiornamento è compito del suo team; un provider di hosting non lo farà al posto suo. Annoti prima quale versione di Next.js usa, perché dovrà confermare dall'annuncio ufficiale a quali linee di versioni arriverà l'aggiornamento.
Quando l'aggiornamento sarà pubblicato, lo compili prima in un ambiente di prova, provi a mano le pagine principali e i moduli, poi lo metta online. Dopo la pubblicazione controlli che il sito si apra e che le immagini si carichino. Lo strumento di controllo della sicurezza di rabbitclip può dare una rapida occhiata dall'esterno agli header del suo sito, ma non sostituisce l'aggiornamento di versione.
- Annoti la versione e la linea di Next.js che usa
- Confermi la versione pubblicata sulla pagina ufficiale dell'annuncio
- Compili e testi prima in un ambiente di prova
- Dopo la pubblicazione controlli le pagine e le immagini
Quali errori si commettono più spesso?
L'errore più comune è vedere un avviso di sicurezza e rimandarlo alla settimana successiva. Una gravità critica indica che l'aggiornamento non dovrebbe attendere nella normale lista di manutenzione.
Il secondo è mettere online l'aggiornamento senza provarlo. Il terzo è leggere l'annuncio senza conoscere la propria versione; se non sa su quale linea si trova, non può sapere quale patch sia la sua.
- Rimandare l'aggiornamento di sicurezza
- Pubblicare senza testare
- Non conoscere la propria versione
- Attivare Cache Components in fretta durante l'aggiornamento
Quando questa guida non fa per lei?
Se il suo sito non è realizzato con Next.js, questo articolo non la riguarda. Se è realizzato con Next.js ma gira su una piattaforma gestita da un provider di hosting, può bastare chiedere al provider come verrà applicato l'aggiornamento.
La scelta sbagliata sarebbe fare l'aggiornamento di sicurezza lo stesso giorno del passaggio a Cache Components. Tenga le due cose separate: applichi prima la patch e faccia il passaggio come lavoro pianificato e a parte.
In breve, Next.js 16.4 consiglia Cache Components e il 14 ottobre è atteso un aggiornamento di sicurezza pensato per chiudere due vulnerabilità critiche e una di gravità alta. Per chi ospita da sé il proprio sito l'ordine è semplice: scoprire la versione, confermare l'aggiornamento pubblicato sulla pagina ufficiale, testarlo e applicarlo. Se desidera pianificare questo lavoro insieme a noi per il suo sito, saremo lieti di fare con lei, da rabbitclip, una conversazione di scoperta tranquilla.
Domande frequenti
L'aggiornamento a Next.js 16.4 è obbligatorio?
Le nostre fonti non menzionano alcun obbligo del genere. La 16.4 consiglia Cache Components, ma una patch di sicurezza e un aggiornamento di versione sono questioni distinte. Basta applicare prima la patch.
Qual è il numero di versione dell'aggiornamento del 14 ottobre?
Il numero di versione non era ancora stato pubblicato al momento della stesura. Segua l'aggiornamento sulla pagina ufficiale degli annunci di Next.js.
Cache Components diventerà obbligatorio in Next.js 17?
Secondo l'annuncio sarà attivo per impostazione predefinita in Next.js 17. Le nostre fonti non dicono nulla su un eventuale obbligo.
I siti ospitati su Windows sono stati colpiti dalla falla di agosto?
Secondo l'annuncio di agosto, erano colpite le applicazioni ospitate su Windows che usano insieme il Pages Router e l'App Router e non usano Cache Components. Linux e macOS non erano colpiti.
Fonti
I dati concreti di questo articolo si basano su queste pagine ufficiali; verifichi lì la situazione attuale.
