10月14日、Next.jsは上流の修正を16.4.1と15.5.28で公開した。
Criticalは2件ある。GHSA-673q-mjm6-r5xr（CVSS 9.5）は、App RouterのCache Componentsでuse cacheが複数のtyped arrayを返すと、未認証のリモートコード実行になる。対象は16.0.0〜16.4.0で、回避策は無い。同様の関数が無いアプリも更新するよう求めている。上流のReact（GHSA-xqc2-xf4c-x3h3）は、react-server-dom-webpack、parcel、turbopackの19.0.0〜19.0.8、19.1.0〜19.1.9、19.2.0〜19.2.8、19.3.0を、19.0.9、19.1.10、19.2.9、19.3.1で修正した。サーバーを使わないアプリは対象外である。
CVE-2026-96889（GHSA-2464-fhr4-w9xw、CVSS 9.5）は、画像最適化が使う上流ライブラリのメモリ欠陥で、SVG処理時にglibc系Linux上のNext.jsで未認証RCEになり得る。範囲は10.0.0〜15.5.27と、16.0.0より後から16.4.0まで。sharp 0.35.5以上が回避策で、Next.jsの修正版は修正済みのsharpを解決する。
HighのGHSA-p3m5-59mp-jv5r（CVSS 8.2）は、Server Actionが1つでもあるApp Routerの13.0.0〜15.5.27と16.0.0〜16.4.0が対象だ。細工されたリクエストがプロセスのCPUを占め、同じプロセスの後続処理を止める。Pages Router、またはServer Actionsの無いアプリは対象外で、対処は更新だけである。
16系でCache Componentsを有効にしているアプリはRCEの条件に近い。15系は画像最適化とDoSを確認する。react-server-domを直接依存している場合、Next.jsの更新だけでは閉じない。