Next.js, 9월 30일 보안 릴리스 예고 취약점 9건

Next.js 팀이 9월 23일 공식 블로그를 통해 9월 30일에 예정된 보안 릴리스를 미리 공지했습니다. 패치를 바로 내놓는 대신 며칠 앞서 알려서 각 팀이 업그레이드를 계획할 시간을 주려는 목적이라고 밝혔습니다.

이번에 다룰 취약점은 모두 9건입니다. 심각도별로 보면 critical 1건, high 2건, medium 5건, low 1건입니다. 패치 버전은 16.3.7과 15.5.27로 나올 예정이고, 영향 범위와 대상 버전, 업그레이드 방법을 담은 상세 권고문도 릴리스와 함께 공개한다고 합니다. 아직 각 취약점의 구체적인 내용과 CVE 번호는 공개되지 않았습니다.

사전 예고 방식이라는 점이 눈에 띕니다. 보통은 패치와 권고문이 동시에 나오는데, 이번에는 릴리스 날짜만 먼저 못박아 두고 심각도 분포까지 공개했습니다. critical이 1건 포함돼 있으니 Next.js를 운영에 쓰는 곳이라면 9월 30일 릴리스가 나오는 대로 바로 올릴 수 있게 준비해 두는 편이 좋아 보입니다.

취약점은 Vercel이 운영하는 오픈소스 버그 바운티(HackerOne)를 통해 제보받은 것으로 보입니다. 정식 권고문이 나오면 대상 버전을 확인하고 16.x 계열은 16.3.7, 15.x 계열은 15.5.27로 올리면 됩니다.

🔗 https://nextjs.org/blog/upcoming-nextjs-security-release-september-2026