Le 14 octobre 2026, Next.js a publié une mise à jour de sécurité hors cycle corrigeant trois vulnérabilités, dont deux critiques permettant une exécution de code à distance sans authentification et une faille de déni de service. Les problèmes concernent notamment les fonctions use cache, le traitement des images SVG via sharp et les Server Actions. Les correctifs sont disponibles dans Next.js 16.4.1 et 15.5.28. Les développeurs doivent mettre à jour leurs dépendances, vérifier la version de sharp et redéployer leurs applications.