20 июля 2026 года Next.js выпустил обновления безопасности 16.2.11 для ветки Active LTS и 15.5.21 для Maintenance LTS. Они исправляют 4 уязвимости высокой и 5 средней важности. Если сайт работает на одной из этих веток, сначала нужно определить фактическую версию, а затем проверить обновление отдельно от рабочего сайта.
Опасен не только пропущенный патч. Поспешная установка тоже может остановить форму, оплату или авторизацию, если тестовая среда отличается от рабочей, версии Node.js нигде не закреплены, а порядок отката существует только в памяти разработчика. Поэтому безопасное обновление — это короткое изменение с заранее определёнными проверками.
Успешная сборка не доказывает, что сайт принимает заявки. Обновление завершено только после проверки важных для бизнеса сценариев.
Что именно выпустил Next.js
Для поддерживаемых веток опубликованы версии: 16.2.11 и 15.5.21. Применимость исправлений зависит от версии, архитектуры и используемых возможностей Next.js. Её определяют по составу проекта и официальному описанию релиза.
Точный состав зависимостей фиксирует lock-файл — файл с конкретными версиями пакетов. Если его пересоздать перед выпуском, вместе с Next.js могут измениться другие библиотеки, а причину сбоя будет сложнее найти.
Проверьте и Node.js — среду выполнения серверной части. Vercel предупредил: 1 октября 2026 года Node.js 20 будет отключён для новых сборок и функций. Уже созданные размещения продолжат работать, а новые с Node.js 20 будут завершаться ошибкой.
Кому нужно проверить проект
В первую очередь проверка нужна публичным сервисам на Next.js, где серверная логика участвует в работе с пользователем. Приоритет особенно высок, если проект содержит:
- каталог, поиск, корзину или оплату;
- формы заявок, личный кабинет или восстановление пароля;
- серверный рендеринг, промежуточные обработчики запросов или серверные действия;
- обмен данными с CRM, почтой, аналитикой и внешними интерфейсами;
- размещение на Vercel, собственном сервере или в Docker.
У информационного сайта срочность может быть ниже. Но и там стоит убедиться, что проект собирается: иногда страницы доступны из кеша, а новую версию уже нельзя выпустить из-за устаревшей среды. Дополнительный риск возникает, если порядок сборки и отката знает только один специалист.
Какие сбои возможны при обновлении
Первый риск — оставить известные уязвимости в публичном контуре. Приоритет определяют после проверки ветки Next.js и используемых механизмов. Старому неподдерживаемому проекту может понадобиться отдельный переход, а не установка одного из двух патчей.
Второй риск — потерять возможность выпускать изменения из-за устаревшего Docker-образа, разных версий Node.js или несовместимого пакета. Третий — не заметить поломку формы, авторизации или интеграции. Поэтому обновление безопасности не совмещают с переносом сервера, новым дизайном и крупной переработкой кода.
Что проверить до установки
Начните с перечня версий. Сопоставьте Next.js в package.json и lock-файле, затем проверьте React и Node.js во всех местах, где проект собирается или запускается. Обычно сведения находятся в настройках площадки, Dockerfile, .nvmrc, .node-version и поле engines. Значения на компьютере разработчика, в автоматической сборке и на сервере должны быть явно зафиксированы.
Далее опишите путь изменения до рабочего сайта. CI/CD — это автоматизированная сборка, проверка и публикация кода. Даже если автоматизации нет, должны быть известны:
- команда установки пакетов и сборки;
- тестовая среда, близкая по настройкам к рабочей;
- ответственный за выпуск и наблюдение после него;
- резервная копия данных и конфигурации;
- предыдущая рабочая сборка и порядок отката;
- признаки, при которых откат начинается без дополнительных согласований.
Для Next.js 16.2 целевой патч — 16.2.11, для 15.5 — 15.5.21. Если установлена более старая ветка, сначала оцените путь до поддерживаемой версии. Большой переход может затронуть прикладной код, поэтому его нельзя выдавать за обычную установку небольшого исправления.
Перед работой зафиксируйте исходное состояние: проходит ли сборка, отправляются ли формы, есть ли текущие ошибки в журналах. Иначе старую неисправность легко принять за следствие обновления и потратить время не на ту причину.
Как провести обновление без простоя
Создайте отдельную ветку и воспроизведите рабочую конфигурацию в тестовой среде. Для Docker используйте тот же базовый образ и версию Node.js, которые предназначены для рабочего сайта. На Vercel проверьте выбранную версию Node.js и ограничения функций. Секретные значения копировать без контроля не нужно: тестовой среде достаточно отдельных безопасных ключей к тестовым службам.
Устанавливайте зависимости воспроизводимо. В проекте на npm для этого обычно используют npm ci: команда берёт версии из lock-файла и не меняет его произвольно. Если после установки изменились десятки посторонних пакетов, остановитесь и выясните причину до публикации.
После сборки проверьте не набор страниц, а целые действия пользователя:
- отправьте тестовую форму и убедитесь, что данные дошли до получателя;
- выполните поиск, фильтрацию и переходы между страницами;
- проверьте корзину, тестовую оплату и изменение статуса заказа;
- войдите в личный кабинет и восстановите пароль;
- подтвердите доставку писем и событий в CRM и аналитику;
- откройте серверные страницы и проверьте обновление кеша.
Для App Router отдельно проверяют серверные компоненты, действия и кеш, для Pages Router — серверные страницы, маршруты интерфейса программирования и старые интеграции. Нестандартный next.config и собственный сервер требуют отдельного сценария.
После публикации следите за ошибками, временем ответа, формами и интеграциями. Если критичный путь не работает, верните подтверждённую сборку, исследуйте сбой в тестовой среде и повторите выпуск позже.
Что запросить у подрядчика
Проверяемый план полезнее обещания обновить сайт «быстро и без проблем». До начала работ подрядчик должен назвать:
- текущие версии Next.js, React, Node.js и пакетного менеджера;
- места, где эти версии закреплены;
- применимость официального сообщения к архитектуре проекта;
- перечень страниц, форм и интеграций для проверки;
- состав выпуска без посторонней переработки;
- порядок отката и критерии его запуска;
- способ подтвердить результат после публикации.
В отчёте зафиксируйте версии до и после, итог сборки, пройденные сценарии и найденные отклонения. Запись должна позволять другому специалисту повторить выпуск.
Если неизвестны место сборки, версия Node.js и способ отката, риск обновления фактически переносится с подрядчика на бизнес.
Чем может помочь OpenStart
OpenStart начинает с диагностики: определяет фактические версии Next.js, React и Node.js, проверяет путь автоматической сборки и публикации, Docker, настройки площадки и важные интеграции. Результатом становится ограниченный план обновления с критериями проверки и отката, а не одновременная переделка всего проекта.
Для связанного решения проверяется весь путь данных. Если клиентская часть на Next.js передаёт заявку серверной части на Node.js, затем в CRM и почту, успешное отображение сообщения «Отправлено» ещё ничего не доказывает. Нужно убедиться, что запись появилась у менеджера, уведомление доставлено, а ошибка не скрылась в журнале.
Полезные направления работы:
- доработка проектов на React и Next.js;
- разработка и поддержка серверной части на Node.js;
- поддержка сайтов и регулярное сопровождение;
- ускорение сайта и аудит PageSpeed.
Диагностика покажет, какая ветка установлена, можно ли ограничиться патчем и какие пользовательские действия требуют проверки.
Частые вопросы
Нужно ли срочно устанавливать Next.js 16.2.11 или 15.5.21?
Если проект находится на соответствующей ветке, проверку откладывать не стоит. Дату выпуска определяют после оценки применимости и готовности тестовой среды. Без плана отката рабочий сайт не обновляют.
Можно ли сразу перейти на Next.js 16.3?
Это отдельное решение: переход на новую младшую версию обычно шире патча. Для 16.3 нужно проверить актуальный патч, совместимость проекта и официальное описание изменений.
Что важнее на Vercel: обновить Next.js или Node.js?
Оба. Next.js связан с исправленными уязвимостями, Node.js — со сборкой и серверными функциями. Из-за отключения Node.js 20 для новых размещений 1 октября 2026 года работы удобно спланировать вместе, но проверять раздельно.
Что делать, если нет тестовой среды и автоматических тестов?
Подготовить временную тестовую среду, ручной список критичных действий, резервную копию и порядок отката. Список сохраните для следующих обновлений.
Кто отвечает за такую работу?
Это задача сопровождения всего проекта. Ответственный должен учитывать Next.js, Node.js, сборку, площадку размещения и интеграции, а также иметь право остановить выпуск или начать откат.
Вывод
Обновления Next.js 16.2.11 и 15.5.21 уже доступны. Практическая задача владельца сайта — подтвердить установленную ветку, изолировать изменение, проверить пользовательские пути и заранее подготовить возврат к рабочей сборке. Такой порядок снижает и риск уязвимостей, и вероятность простоя из-за поспешной публикации.
Обновление закончено, когда версии закреплены, формы и интеграции проверены, а в журналах нет новых критичных ошибок. Результат сохраните для следующего выпуска.