白話重點
- 誰要處理：用 Next.js 做的網站才受這次 Next.js 漏洞影響。一般 WordPress 網站不是用 Next.js 做的；只有前台另外用 Next.js 的才在範圍內。不確定就問做網站的廠商。
- 多急：兩個漏洞嚴重度都是 9.5（滿分 10），攻擊者不需登入就可能在網站主機上執行程式；其中一個沒有替代做法，只能更新。
- 今天做一件事：問廠商「有沒有用 Next.js？版本是多少？什麼時候更新並重新部署？」
- 更新完還要重新部署：重新建置並部署後，正式站才會換成新版本。
- 給老闆的一句話：網站用到 Next.js，已請廠商更新到修補版並重新部署，完成日期 ＿＿。
技術摘要（給 IT 人員）
| 項目 | 內容 |
|---|---|
| 編號 | GHSA-673q-mjm6-r5xr（use cache，尚未配發 CVE）、GHSA-2464-fhr4-w9xw（圖片最佳化，起因是上游 librsvg 的 CVE-2026-96889） |
| 嚴重度 | 兩個都是 CVSS v4.0 9.5（Vercel 評分） |
| 會中的條件 | 一：App Router 加 Cache Components，use cache 函式回傳多個 typed array；二：跑在 glibc 的 Linux，用內建圖片最佳化處理 SVG |
| 受影響版本 | 一：16.0.0–16.4.0；二：10.0.0–15.5.27、16.0.0–16.4.0 |
| 修補版本 | 16.4.1、15.5.28；sharp 0.35.5 以上 |
| 遭利用狀態 | 未列入 CISA 已知遭利用漏洞清單；截至 10 月 27 日 |
| 原廠公告 | Next.js 安全公告（10 月 14 日） |
這兩個 Next.js 漏洞是什麼？影響哪些網站？
這兩個 Next.js 漏洞由開發商 Vercel 在 10 月 14 日公布，10 月 22 日經 GitHub 審核收進安全公告資料庫。白話說：
- 漏洞一：16 版、用到新快取功能（use cache）的網站。沒有替代做法，即使沒用到也要立即更新（官方公告）
- 漏洞二：用 Next.js 內建功能處理 SVG 圖片的網站，範圍從 10 版一路到 16 版；問題出在它用到的上游圖片函式庫（公告）
Next.js 漏洞要更新到哪一版？
- 用 Next.js 16：更新到 16.4.1 以上，兩個漏洞都在修補範圍
- 用 Next.js 15：更新到 15.5.28 以上
- 用 Next.js 13、14：沒有各自的修補版，要升到 15.5.28 以上，或先把 sharp 升到 0.35.5 以上撐著
我們建議的 Next.js 更新順序：先在測試環境更新，打開網站主要頁面、確認圖片與快取功能正常，再部署到正式站；跨大版本升級（13、14 升到 15）要多留測試時間。
升級後一律在專案資料夾執行 npm ls next sharp，確認 sharp 是 0.35.5 以上：15.5.28 仍允許舊版 sharp，已有套件鎖定檔的專案不一定會自動換。
外包網站的版本更新由誰負責、多久內處理，最好寫進合約，見〈AI 寫程式交付的風險〉。
更新紀錄
- 2026 年 10 月 27 日：首次發布
我們怎麼做？
網站是外包做的、廠商聯絡不上，或不確定有沒有用到 Next.js，可以把網址寫信給我們，我們先免費幫你判讀該找誰、要更新什麼。需要接手升級或重新部署時，再談企業系統客製開發（服務全台）；公司其他對外系統的修補排序見企業雲端建置與資安防護。
常見問題
網站放在 Vercel 上，也要自己更新嗎？
要。Next.js 官方公告沒有說部署在 Vercel 就不受影響，修補方式就是更新網站專案裡的 Next.js 版本並重新部署，這一步要由維護網站的人做。
網站是 Next.js 13 或 14 版，怎麼辦？
13、14 版在圖片處理那個漏洞的範圍內，官方只出了 15.5.28 與 16.4.1 兩個修補版，沒有 13、14 版的修補。要嘛跨大版本升到 15.5.28 以上，要先在測試環境驗過；升級前先用替代做法，把 sharp 升到 0.35.5 以上。
use cache 那個漏洞為什麼沒有 CVE 編號？
截至 2026 年 10 月 27 日，GitHub 上的公告寫的是尚未配發 CVE，所以只能用公告編號 GHSA-673q-mjm6-r5xr 稱呼它。圖片處理那個漏洞的起因是上游 librsvg 的 CVE-2026-96889，Next.js 公告本身也沒有另外配發編號。
這兩個漏洞已經被攻擊了嗎？
截至 2026 年 10 月 27 日，兩個都還不在美國 CISA 的已知遭利用漏洞清單裡，原廠公告也沒有提到已遭攻擊。之後若列入清單，我們會在本文的更新紀錄註明。
