Next.js prepara release de segurança em novembro para corrigir sete vulnerabilidades

O Next.js anunciou com antecedência um release de segurança agendado para terça-feira, 3 de novembro de 2026. O aviso prévio serve para as equipes planejarem o upgrade antes da publicação dos patches. A correção cobre sete vulnerabilidades de severidade média.

Os advisories completos saem junto com o release, com impacto, versões afetadas e instruções de atualização. Até lá, a fonte não detalha quais componentes são atingidos nem quais versões entram. A recomendação é atualizar para uma versão corrigida assim que ela estiver disponível. A equipe também lembra que trabalha com pesquisadores via Vercel's Open Source Bug Bounty, e dúvidas sobre o programa vão para [email protected].

Em 11 de maio de 2026, o CEVIU noticiou "Next.js v16.2.6: Lançamento corrige múltiplas vulnerabilidades críticas de segurança", com treze falhas corrigidas, incluindo Denial of Service, bypass de middleware e server-side request forgery. O novo lote é menor (sete) e de severidade média, segundo a fonte. Outra diferença: agora há aviso antecipado da data, antes da publicação dos patches.

Para quem opera aplicações em Next.js, a leitura prática é reservar uma janela para 3 de novembro, checar a versão em produção e deixar o pipeline de testes pronto para validar o upgrade. Severidade média não dispensa pressa, mas o detalhe real só aparece nos advisories. Vale revisar o que depende de middleware e de requisições do servidor, já que esses pontos apareceram no histórico de correções de maio.