Next.js 16.4 и обновление безопасности октября 2026 года

В объявлении о Next.js 16.4 команда пишет, что рекомендует Cache Components как лучший выбор для любого приложения на Next.js. В новых приложениях, созданных через create-next-app, функция включена по умолчанию, а в Next.js 17 она станет режимом по умолчанию. Cache Components это структура, которая позволяет разделить, какие части страницы готовятся и сохраняются заранее, а какие создаются в момент прихода посетителя.

В объявлении объясняется, что ensureStatic может гарантировать на этапе сборки, что маршрут останется полностью статическим, а navigation() и prefetch() позволяют исключить часть содержимого из предзагрузки. Выпуск поставляется вместе с React 19.3. Как эта рекомендация повлияет на существующие приложения, источники отдельно не описывают; прочитайте объявление до обновления.

Версия 16.4 меняет и опыт разработчика. Согласно объявлению, команда next upgrade --agent выполняет обновление с помощью агента, а политика по умолчанию для настройки experimental.agentUpgrade это security: то есть напоминание об обновлении при известных уязвимостях.

Со стороны React в этот выпуск входит объявление о React 19.3 от 9 сентября 2026 года. Это детали, которые чувствуются именно в повседневной работе разработчиков; посетитель сайта большую часть из них напрямую не увидит, но работа команды разработки может ускориться.

• Дисковый кеш Turbopack меньше на 20–25%
• Более компактные производственные пакеты: короткие имена классов CSS Module и export mangling
• React 19.3: View Transitions и Fragment Refs становятся стабильными
• React 19.3: API browser(), поддержка Trusted Types и Context, используемый прямо в Server Components

В объявлении Next.js от 8 октября 2026 года сказано, что в ближайшую среду, 14 октября, будет выпущено обновление безопасности, устраняющее две критические уязвимости и одну уязвимость высокой степени опасности в зависимостях верхнего уровня. Речь, таким образом, идёт об обновлении, выпуск которого запланирован на 14 октября; на момент написания оно ещё не вышло.

Мы отмечаем, что на данном этапе в объявлении нет подробностей об уязвимостях, и поэтому не строим догадок о том, какие именно части затронуты. Когда будете устанавливать обновление, прочитайте примечания к выпуску на официальной странице Next.js и подтвердите подробности там.

25 августа 2026 года вышли выпуски безопасности 16.3.3 (Active LTS) и 15.5.24 (Maintenance LTS). Было две критические уязвимости. Одна допускала удалённое выполнение кода без аутентификации при обработке AVIF в Image Optimization API; она была связана с libheif, которую использует sharp, а исправление временно отключает оптимизацию AVIF.

Вторая представляла собой удалённое выполнение кода на серверах под Windows, в приложениях, которые используют вместе Pages Router и App Router и не используют Cache Components; Linux и macOS затронуты не были. Вывод такой, и его стоит запомнить: уязвимость может находиться не в коде, который вы написали сами. Она может появиться в используемой инфраструктуре, во второстепенных частях вроде обработки изображений, а её влияние способно меняться в зависимости от среды размещения.

Если вы запускаете сайт на собственном или частном сервере, а не на управляемой платформе, устанавливать обновление должна ваша собственная команда; хостинг-провайдер сделает это не за вас, и никто другой тоже. Сначала запишите, какую версию Next.js вы используете, потому что по официальному объявлению вам нужно будет подтвердить, для каких линий версий выйдет обновление.

Когда обновление будет выпущено и вы подтвердите его на официальной странице, сначала соберите его в тестовой среде, вручную проверьте основные страницы и формы, а затем выкладывайте на рабочий сервер. После выкладки убедитесь, что сайт открывается и изображения загружаются. Инструмент проверки безопасности от rabbitclip может быстро посмотреть заголовки вашего сайта снаружи, но не заменяет обновление версии.

• Запишите используемую версию и линию Next.js
• Подтвердите выпущенную версию на официальной странице объявления
• Сначала соберите и протестируйте в тестовой среде
• После выкладки проверьте страницы и изображения

Самая частая ошибка это увидеть объявление о безопасности и отложить дело на следующую неделю. Критическая степень опасности означает, что обновление не должно ждать своей очереди в обычном списке плановых работ по обслуживанию сайта.

Вторая ошибка это выложить обновление на рабочий сайт, ни разу не попробовав его. Третья это прочитать объявление, не зная собственной версии; если вы не знаете, на какой вы линии, вы не можете знать и то, какое исправление ваше.

• Откладывать обновление безопасности
• Выкладывать без проверки
• Не знать собственную версию
• Наспех включать Cache Components во время обновления

Если ваш сайт написан не на Next.js, эта статья вас не касается, и вы можете спокойно её закрыть. Если он написан на Next.js, но работает на платформе, которой управляет хостинг-провайдер, может хватить вопроса провайдеру о том, как будет установлено обновление.

Неверным решением было бы делать обновление безопасности в тот же день, что и переход на Cache Components. Держите эти две вещи раздельно: сначала установите исправление, а переход выполните как плановую и отдельную работу.