# Next.js 16.4.1 และ 15.5.28 อุดช่องโหว่ RCE วิกฤต 2 รายการ React ออกแพตช์ตาม

> Next.js 16.4.1 และ 15.5.28 ออกเมื่อ 14 ต.ค. 2026 อุดช่องโหว่รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน 2 รายการ คะแนน 9.5 พร้อม DoS ระดับสูง React ออกแพตช์ตามสี่สาย

- ประเภท: ข่าว · หมวด: Software & DevOps
- เผยแพร่: 2026-10-15T06:23:00.000Z · อัปเดต: 2026-10-15T06:23:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/software/next-js-16-4-1-security-update-rce-react-server-components/

## สรุปประเด็นสำคัญ

- Vercel ออก **Next.js 16.4.1** (Active LTS) และ **15.5.28** (Maintenance LTS) เมื่อ **14 ตุลาคม 2026** เป็นรอบแพตช์นอกรอบที่ประกาศล่วงหน้าตั้งแต่ 8 ต.ค.
- ช่องโหว่ระดับ Critical **2 รายการ** ได้คะแนน CVSS v4 **9.5** ทั้งคู่ คือ RCE ในฟังก์ชัน `use cache` ที่คืนค่า typed array หลายตัว และ RCE ใน Image Optimization API เมื่อใช้ไฟล์ SVG บน Linux ที่ใช้ glibc (CVE-2026-96889)
- อีกรายการเป็น DoS ระดับ High คะแนน **8.2** ใน App Router ที่ใช้ Server Actions ส่วน React ออก **19.0.9, 19.1.10, 19.2.9 และ 19.3.1** ให้แพ็กเกจ react-server-dom-webpack, parcel และ turbopack
- ช่องโหว่ RCE ใน `use cache` **ไม่มีวิธีเลี่ยงชั่วคราว** Vercel ให้อัปเกรดทันทีแม้แอปไม่มีฟังก์ชันลักษณะนั้น ส่วนช่องโหว่ภาพ SVG เลี่ยงได้ด้วย sharp **0.35.5** ขึ้นไป

Next.js 16.4.1 และ 15.5.28 ออกเมื่อ 14 ตุลาคม 2026 เพื่ออุดช่องโหว่ระดับวิกฤต 2 รายการที่เปิดให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน (RCE) และช่องโหว่ DoS ระดับสูงอีก 1 รายการ พร้อมกันนั้น React ออกแพตช์ให้แพ็กเกจ React Server Components สี่สาย องค์กรที่รันเว็บด้วย Next.js ควรอัปเกรดทันที

Vercel ผู้ดูแล Next.js ประกาศล่วงหน้าตั้งแต่ 8 ตุลาคมว่าจะมีรอบแพตช์นอกรอบ (out-of-band) ในวันที่ 14 ตุลาคม เพราะสองในสามการแก้ไขต้องเลื่อนจากรอบแพตช์เดือนกันยายน เนื่องจากต้องรอประสานกับไลบรารีต้นทาง

## ช่องโหว่ที่ Next.js 16.4.1 แก้มีอะไรบ้าง

| ช่องโหว่ | ระดับ | CVSS v4 | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้แล้ว |
| --- | --- | --- | --- | --- |
| RCE ในฟังก์ชัน `use cache` ที่คืนค่า typed array (GHSA-673q-mjm6-r5xr) | Critical | 9.5 | 16.0.0 ถึง 16.4.0 | 16.4.1 |
| RCE ใน Image Optimization API เมื่อใช้ SVG (CVE-2026-96889) | Critical | 9.5 | 10.0.0 ถึง 15.5.27 และสาย 16 ถึง 16.4.0 | 15.5.28 / 16.4.1 |
| DoS ใน App Router ที่ใช้ Server Actions (GHSA-p3m5-59mp-jv5r) | High | 8.2 | 13.0.0 ถึง 15.5.27 และ 16.0.0 ถึง 16.4.0 | 15.5.28 / 16.4.1 |

ช่องโหว่แรกกระทบแอปที่ใช้ App Router ร่วมกับ Cache Components และมีฟังก์ชัน `use cache` ที่คืนค่า typed array หลายตัว แม้เงื่อนไขจะแคบ แต่ Vercel ระบุว่า "ไม่มีวิธีเลี่ยงชั่วคราว" และให้อัปเกรดทันทีแม้แอปจะไม่มีฟังก์ชันลักษณะนั้น ต้นเหตุอยู่ที่ React Server Components ซึ่ง React ออกประกาศแยก (GHSA-xqc2-xf4c-x3h3) ระดับ Critical คะแนน 9.5 เช่นกัน

ช่องโหว่ที่สองเกิดจากปัญหาด้านหน่วยความจำในไลบรารีต้นทางที่ใช้ปรับขนาดภาพ เมื่อ Next.js รันบน Linux ที่ใช้ glibc และประมวลผลไฟล์ SVG อาจถูกใช้รันโค้ดจากระยะไกลได้ ช่องโหว่นี้กินช่วงรุ่นกว้างที่สุด ตั้งแต่ Next.js 10.0.0 วิธีเลี่ยงคือให้ sharp ที่ Next.js ใช้เป็นรุ่น 0.35.5 ขึ้นไป ซึ่งการติดตั้งใหม่จะได้รุ่นที่แก้แล้วอยู่แล้ว

ช่องโหว่ที่สามคือคำขอที่สร้างขึ้นเฉพาะไปยังแอปที่ใช้ App Router และมี Server Action อย่างน้อยหนึ่งตัว ทำให้ CPU ทำงานหนักจนโปรเซสนั้นรับคำขออื่นไม่ได้ แอปที่ใช้ Pages Router หรือไม่ได้ใช้ Server Actions ไม่ได้รับผลกระทบ

![หน้า GitHub Security Advisory GHSA-673q-mjm6-r5xr ของ vercel/next.js ระดับ Critical คะแนน 9.5 ระบุรุ่นที่ได้รับผลกระทบ 16.0.0 ถึง 16.4.0 และรุ่นที่แก้แล้ว Next.js 16.4.1](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/next-js-16-4-1-security-update-rce-react-server-components/next-js-ghsa-673q-use-cache-rce.webp?v=18e78977) _(ภาพ: GitHub (ภาพหน้าจอ))_

## React ออกแพตช์ Server Components พร้อม Next.js 16.4.1

ฝั่ง React ออกรุ่น 19.0.9, 19.1.10, 19.2.9 และ 19.3.1 ให้แพ็กเกจ `react-server-dom-webpack`, `react-server-dom-parcel` และ `react-server-dom-turbopack` ในวันเดียวกัน แก้ทั้ง RCE ใน React Server Components และ DoS ใน Server Functions (GHSA-h3gv-c5rc-p453 ระดับ High คะแนน 8.2) ประกาศของ React ระบุว่า RCE นี้เกิดใน "กรณีที่พบได้ยากมาก" ที่การตอบกลับส่ง typed array หลายตัวร่วมกับค่าที่ผู้โจมตีควบคุมได้ แต่ยังแนะนำให้อัปเดตทันที

ผลกระทบจึงไม่จำกัดอยู่ที่ Next.js แอปหรือเฟรมเวิร์กอื่นที่รองรับ React Server Components ผ่านแพ็กเกจทั้งสามก็ต้องอัปเดตด้วย ส่วนแอป React ที่ไม่มีโค้ดฝั่งเซิร์ฟเวอร์ และแอปที่ไม่ได้ใช้เฟรมเวิร์กหรือ bundler ที่รองรับ Server Components ไม่ได้รับผลกระทบ

![หน้า GitHub Security Advisory GHSA-xqc2-xf4c-x3h3 ของ React ระดับ Critical คะแนน 9.5 แสดงแพ็กเกจ react-server-dom-parcel, turbopack และ webpack ที่ได้รับผลกระทบและรุ่นที่แก้แล้ว](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/next-js-16-4-1-security-update-rce-react-server-components/react-ghsa-xqc2-server-components-rce.webp?v=c3bc9a7e) _(ภาพ: GitHub (ภาพหน้าจอ))_

## ทำไมเรื่องนี้สำคัญ

Next.js เป็นเฟรมเวิร์กหลักของเว็บและระบบหน้าบ้านจำนวนมาก ทั้งเว็บไซต์องค์กร อีคอมเมิร์ซ และพอร์ทัลลูกค้า ช่องโหว่ที่รันโค้ดได้โดยไม่ต้องล็อกอินเป็นความเสี่ยงสูงสุดของแอปที่เปิดสู่อินเทอร์เน็ต เพราะผู้โจมตีอาจเข้าถึงตัวแปรลับ ฐานข้อมูล หรือใช้เซิร์ฟเวอร์เป็นฐานโจมตีต่อ การที่ Next.js 16.4.1 แก้ช่องโหว่ภาพ SVG ที่กินย้อนไปถึงรุ่น 10 ยังแปลว่าระบบเก่าที่ไม่ได้อัปเดตมานานก็อยู่ในข่ายด้วย

แม้ช่องโหว่ใน `use cache` จะต้องมีเงื่อนไขเฉพาะ แต่ทีมไอทีส่วนใหญ่ตอบไม่ได้ทันทีว่าโค้ดของตนเข้าเงื่อนไขหรือไม่ การอัปเกรดทั้งหมดจึงเร็วและปลอดภัยกว่าการไล่ตรวจโค้ด

ตามเวกเตอร์ CVSS v4 ที่ประกาศไว้ ช่องโหว่ RCE ทั้งสองรายการโจมตีได้ผ่านเครือข่าย ความซับซ้อนต่ำ ไม่ต้องมีสิทธิ์ใด ๆ และไม่ต้องให้ผู้ใช้กดหรือเปิดอะไร ข้อจำกัดเดียวคือระบบต้องอยู่ในเงื่อนไขบางอย่าง (Attack Requirements: Present) เช่น มีฟังก์ชัน `use cache` ตามรูปแบบที่ระบุ หรือรันบน Linux ที่ใช้ glibc ผลกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานของระบบที่ถูกโจมตีอยู่ระดับสูงทั้งหมด

## สิ่งที่องค์กรควรทำ

- **อัปเกรดเป็น Next.js 16.4.1 หรือ 15.5.28 ทันที** ด้วย `npm install next@16.4.1` หรือ `npm install next@15.5.28` แล้ว build และ deploy ใหม่ทุกสภาพแวดล้อม
- **ตรวจรุ่น React Server Components** ในแอปที่ใช้เฟรมเวิร์กอื่น ให้แพ็กเกจ `react-server-dom-*` เป็น 19.0.9, 19.1.10, 19.2.9 หรือ 19.3.1 ขึ้นไป
- **ตรวจรุ่น sharp ใน lockfile** ให้เป็น 0.35.5 ขึ้นไป โดยเฉพาะระบบที่ยังอัปเกรด Next.js ไม่ได้และรันบน Linux ที่ใช้ glibc
- **สำรวจระบบ Next.js รุ่นเก่า** ที่ทีมภายนอกหรือผู้รับจ้างพัฒนาไว้ ระบบสาย 10 ถึง 14 ไม่มีรุ่นแก้ในประกาศนี้ ควรวางแผนย้ายไปสายที่ยังได้รับแพตช์
- **ติดตามสัญญาณการโจมตี** ตรวจ log ของ Image Optimization API (`/_next/image`) และการใช้ CPU ผิดปกติของโปรเซส Next.js ในช่วงก่อนลงแพตช์

อ่านข่าวเฟรมเวิร์กและเครื่องมือนักพัฒนาอื่น ๆ ได้ที่[หมวด Software](/software/)

## คำถามที่พบบ่อย

### Next.js 16.4.1 แก้ช่องโหว่อะไร?

Next.js 16.4.1 ซึ่งออกวันที่ 14 ตุลาคม 2026 แก้ช่องโหว่ 3 รายการ คือ RCE ระดับวิกฤตในฟังก์ชัน use cache ที่คืนค่า typed array หลายตัว, RCE ระดับวิกฤตใน Image Optimization API เมื่อใช้ไฟล์ SVG และ DoS ระดับสูงใน App Router ที่ใช้ Server Actions สองรายการแรกได้คะแนน CVSS v4 9.5

### Next.js รุ่นไหนได้รับผลกระทบ และต้องอัปเกรดเป็นรุ่นอะไร?

ช่องโหว่ใน use cache กระทบ Next.js 16.0.0 ถึง 16.4.0 ช่องโหว่ภาพ SVG กระทบตั้งแต่รุ่น 10.0.0 ถึง 15.5.27 และสาย 16 ถึง 16.4.0 ส่วน DoS กระทบรุ่น 13.0.0 ขึ้นไป รุ่นที่แก้แล้วคือ Next.js 16.4.1 สำหรับสาย 16 และ 15.5.28 สำหรับสาย 15

### ถ้ายังอัปเกรด Next.js 16.4.1 ไม่ได้ มีวิธีป้องกันชั่วคราวไหม?

สำหรับช่องโหว่ภาพ SVG ให้ตรวจว่า sharp ที่ Next.js ใช้เป็นรุ่น 0.35.5 ขึ้นไป แต่ช่องโหว่ RCE ใน use cache ไม่มีวิธีเลี่ยง และ DoS ใน Server Actions ก็ไม่มีวิธีเลี่ยงนอกจากอัปเกรด Vercel จึงแนะนำให้ขึ้น Next.js 16.4.1 หรือ 15.5.28 ทันที

### แอป React ที่ไม่ได้ใช้ Next.js ได้รับผลกระทบหรือไม่?

ได้รับผลกระทบถ้าใช้ React Server Components ผ่านแพ็กเกจ react-server-dom-webpack, react-server-dom-parcel หรือ react-server-dom-turbopack รุ่น 19.0.0 ถึง 19.3.0 ต้องอัปเกรดเป็น 19.0.9, 19.1.10, 19.2.9 หรือ 19.3.1 ส่วนแอป React ที่ไม่มีโค้ดฝั่งเซิร์ฟเวอร์ไม่ได้รับผลกระทบ


## แหล่งอ้างอิง

- [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) — Next.js
- [Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays (GHSA-673q-mjm6-r5xr)](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) — GitHub (vercel/next.js)
- [Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used (GHSA-2464-fhr4-w9xw)](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) — GitHub (vercel/next.js)
- [Denial of Service in App Router using Server Actions (GHSA-p3m5-59mp-jv5r)](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) — GitHub (vercel/next.js)
- [Unauthenticated Remote Code Execution in React Server Components (GHSA-xqc2-xf4c-x3h3)](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) — GitHub (react/react)
- [Upcoming Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/upcoming-nextjs-security-update-october-2026) — Next.js