Ngày 27/10/2026, nhóm Next.js thông báo sẽ phát hành bản vá bảo mật vào thứ Ba, ngày 3/11/2026, khắc phục 7 lỗ hổng ở mức Medium. Chi tiết đầy đủ sẽ chỉ công bố cùng lúc với bản vá, nên hiện tại chưa có phiên bản vá nào để cài. Thông báo sớm này chỉ nhằm cho các đội thời gian đặt lịch nâng cấp trước.

Vì sao đáng đọc? Từ tháng 7 đến giữa tháng 10, Next.js đã có 5 đợt vá bảo mật, trong đó 3 đợt chứa RCE mức Critical. Bỏ qua một đợt vá là tự đẩy mình xuống dưới vạch an toàn.

Đã biết gì về đợt vá ngày 3/11

  • Thời điểm: thứ Ba, ngày 3/11/2026, theo lịch trình bảo mật định kỳ của Next.js.
  • Phạm vi: 7 lỗ hổng ở mức Medium; chưa công bố CVE hay thành phần bị ảnh hưởng.
  • Advisory đầy đủ đi kèm bản vá: tác động, phiên bản bị ảnh hưởng, hướng dẫn nâng cấp.
  • Khuyến nghị chính thức: nâng cấp ngay khi bản vá có sẵn.

Chưa biết gì — và vì sao đó là bình thường

Hiện chưa rõ đợt vá chạm vào App Router hay Pages Router, có workaround hay không, và có cần xoay secret hay không. Đó là thông lệ công bố có trách nhiệm: báo trước ngày phát hành, giữ chi tiết đến khi có bản vá.

Trong lúc chờ: bạn có đang ở “vạch an toàn” hiện tại không

Trước hết, hãy chắc bạn không còn đứng dưới vạch an toàn của đợt 14/10:

  • Nhánh 16.x: tối thiểu 16.4.1, mới nhất là 16.4.3.
  • Nhánh 15.x: 15.5.28 là bản duy nhất an toàn; nhánh 15 chỉ còn nhận bản vá đến 31/1/2027.
  • Nhánh 14.x trở xuống: đã ngừng hỗ trợ, không có bản vá cho đợt 14/10 lẫn đợt 3/11.
  • Lưu ý: 16.3.8 từng là bản vá ngày 30/9 nhưng đã rơi khỏi vạch an toàn từ 14/10; không có bản 16.3.9 nào.

Kiểm tra trong 60 giây:

npm ls next
npm ls sharp

Sharp cũng cần từ 0.35.5 trở lên; trên nhánh 15.x, lockfile cũ giữ sharp 0.34.x sẽ không tự nâng lên — cần chạy thêm npm update sharp.

Việc cần làm ngay trong tuần này

  • Đặt lịch nâng cấp vào ngày 3–4/11, ngay sau khi advisory và bản vá được công bố.
  • Ghi lại phiên bản Next.js và sharp của từng dự án để ngày 3/11 đối chiếu nhanh.
  • Bật Dependabot hoặc Renovate để bản vá tự về dưới dạng pull request.

Điều này có ý nghĩa gì với bạn

Bảo mật framework năm 2026 đã thành chi phí vận hành định kỳ, như gia hạn chứng chỉ hay xoay khóa API. Đội nào trả lời được trong 10 phút câu hỏi “dự án đang chạy Next.js bản nào, deploy lại mất bao lâu” thì đợt vá 3/11 chỉ là một buổi chiều làm việc. Đội nào không trả lời được thì rủi ro thật không nằm ở 7 lỗ hổng mức Medium.

Bài viết liên quan

Câu hỏi thường gặp

Ngày 3/11 có bản vá để cài ngay không?

Có. Bản vá phát hành đúng ngày 3/11/2026 cùng advisory đầy đủ. Trước thời điểm đó chưa có phiên bản vá chính thức nào.

Lỗ hổng mức Medium có cần nâng cấp gấp không?

Nên nâng cấp trong cửa sổ phát hành. Mức Medium nghĩa là điều kiện khai thác khó hơn hoặc phạm vi ảnh hưởng hẹp hơn, không có nghĩa là vô hại.

Tôi đang chạy Next.js 14 thì sao?

Nhánh 14.x đã ngừng hỗ trợ và không nhận bản vá cho đợt này lẫn đợt 14/10. Lộ trình tối thiểu là lên 15.5.28, tốt nhất lên thẳng 16 trước 31/1/2027.

💬 Tin này ảnh hưởng tới dự án của bạn thế nào? Chia sẻ góc nhìn của bạn trong phần bình luận — mình đọc hết và sẽ tổng hợp những ý hay nhất.

Nguồn tham khảo