Next.js 緊急修補兩個重大等級遠端執行程式碼漏洞：圖片最佳化處理 SVG、use cache 回傳型別陣列，修補版 16.4.1 與 15.5.28

趨勢新聞2026 年 10 月 18 日

Next.js 團隊 10 月 14 日發布例行週期外的安全更新，16.4.1（Active LTS）與 15.5.28（Maintenance LTS）修補兩個重大（Critical）等級、不需驗證即可遠端執行程式碼的漏洞，以及一個高風險的阻斷服務漏洞。一個在圖片最佳化 API 處理 SVG 檔時觸發，編號 CVE-2026-96889；另一個出在 use cache 函式回傳多個型別陣列（typed arrays）時。兩個漏洞在 GitHub 安全公告的 CVSS 4.0 分數都是 9.5。

SVG 漏洞的公告（GHSA-2464-fhr4-w9xw）寫，圖片最佳化用到的上游函式庫有記憶體相關漏洞，Next.js 跑在 glibc 系 Linux 上時可能被用來遠端執行程式碼。受影響版本是 10.0.0 到 15.5.27，以及 16.0.0 之後到 16.4.0；替代做法是確保 Next.js 用到的 sharp 在 0.35.5 以上，新安裝會自動拿到修好的版本。公告沒有點名是哪個上游函式庫；CVE-2026-96889 在 NVD 的紀錄由 Red Hat 於 9 月 23 日登錄，描述 librsvg 處理含巢狀 XInclude 與重複實體宣告的 SVG 時會發生釋放後使用（use-after-free）。sharp 0.35.5 於 9 月 27 日發布。

use cache 漏洞（GHSA-673q-mjm6-r5xr）影響 16.0.0 到 16.4.0 使用 App Router 與 Cache Components 的應用，條件是有 use cache 函式回傳多個型別陣列。公告寫沒有已知替代方案，「即使你的應用沒有類似函式，也應立即升級」；對應的 React 上游公告是 GHSA-xqc2-xf4c-x3h3。這個漏洞在公告上還沒有 CVE 編號。

第三個：Server Actions 阻斷服務

同批的 GHSA-p3m5-59mp-jv5r 是高風險（CVSS 4.0 8.2）阻斷服務漏洞：使用 App Router 且至少有一個 Server Action 的應用，收到特製請求後 CPU 會被吃滿，同一個行程後續的請求都卡住。受影響版本是 13.0.0 到 15.5.27 與 16.0.0 到 16.4.0，只用 Pages Router 或沒用 Server Actions 的應用不受影響。Next.js 10 月 8 日先發預告，說這次更新包含兩個因上游依賴延誤、從 9 月例行安全更新延後的修補。三份公告都沒有提到在野利用。