--- title: "ثغرات Next.js بتشرين الأول 2026: لأي نسخة لازم ترقّي؟" description: "إذا تطبيقك على Next.js 16 روح على 16.4.1 أو أحدث، وإذا على 15 روح على 15.5.28 وتأكد إنو sharp صارت 0.35.5. بعدين ابنِ المشروع وانشره من جديد." url: https://ihsanalapsi.dev/articles/nextjs-16-4-1-security-update lang: ar date: 2026-10-21 updated: 2026-10-21 tags: ["Next.js", "أمن التطبيقات", "تحديثات أمنية"] author: Ihsan Alapsi (إحسان العبسي) --- # ثغرات Next.js بتشرين الأول 2026: لأي نسخة لازم ترقّي؟ بـ 14 تشرين الأول 2026 نشر فريق <span dir="ltr">Next.js</span> تحديث أمني خارج موعده العادي لتلات ثغرات، اتنين منهن حرجين. إذا عندك تطبيق <span dir="ltr">Next.js</span> على <span dir="ltr">Vercel</span> أو <span dir="ltr">Netlify</span> أو على سيرفرك، بآخر هالصفحة بتكون عارف شو منهن بيصيب تطبيقك، ورقّيت ونشرت من جديد، وعندك خطة للنقل من 15 لـ 16. ## لأي نسخة لازم ترقّي <span dir="ltr">Next.js</span> هلق؟ إذا تطبيقك على <span dir="ltr">Next.js 16</span>، رقّي لـ 16.4.1 أو أحدث. وإذا على <span dir="ltr">Next.js 15</span>، رقّي لـ 15.5.28. هدول أول نسختين فيهن التصليح. هيك مكتوب الأمر بـ [إعلان فريق <span dir="ltr">Next.js</span>](https://nextjs.org/blog/nextjs-security-update-october-14-2026): ```bash npm install next@15.5.28 # for 15.5 npm install next@16.4.1 # for 16.4 ``` بـ 15 تشرين الأول طلعت 16.4.2، و[ملاحظات إصدارها](https://github.com/vercel/next.js/releases/tag/v16.4.2) بتذكر تصليحات أغلبها لـ <span dir="ltr">Turbopack</span> وللوثائق، وما بتذكر تصليح أمني جديد. هي النسخة `latest` على <span dir="ltr">npm</span> لحد 21 تشرين الأول 2026، وصفحات التحذير بتعتبر آخر نسخة مصابة 16.4.0، فـ 16.4.2 كمان بتمشي. | نسختك هلق | روح على | شو لازم تعرف | | -------------------- | ----------------- | ----------------------------------------------------------------------------------------------------------------- | | من 16.0.0 لحد 16.4.0 | 16.4.1 أو أحدث | التلات ثغرات ممكن يصيبوك إذا انطبقت شروطهن (ثغرة <span dir="ltr">SVG</span> حسب صفحتها من بعد 16.0.0) | | من 15.0 لحد 15.5.27 | 15.5.28 | ثغرة `use cache` ما بتصيب 15، والتانيين بيصيبوا. تأكد من نسخة <span dir="ltr">sharp</span> (تحت) | | 14 أو أقدم | 15.5.28 على الأقل | ما في نسخة 14 مصلّحة، و14 برّا الدعم | لحد 21 تشرين الأول 2026 ما في تقارير عن استغلال فعلي: لا الإعلان ولا صفحات التحذير بيذكروا استغلال، و[<span dir="ltr">The Hacker News</span>](https://thehackernews.com/2026/10/nextjs-ships-out-of-band-patch-for-two.html) كتب بـ 15 تشرين الأول إنو ما في تقارير علنية، والثغرة مش بـ[قائمة <span dir="ltr">CISA</span> للثغرات المستغلة](https://www.cisa.gov/known-exploited-vulnerabilities-catalog). بس كود الاستغلال صار علني لثغرة الصور مع <span dir="ltr">SVG</span>. الباحث يلي لاقى الخلل نشر [شرحه](https://github.com/rafabd1/VectorFreed) مع كود تجريبي، وكتب إنو وصل لتنفيذ أوامر من طريقين بـ <span dir="ltr">Next.js</span>. ومن 16 تشرين الأول في على <span dir="ltr">GitHub</span> كود استغلال تجريبي لطريق تحسين الصور، انجرّب على 16.4.0 و15.5.27 مع <span dir="ltr">sharp</span> 0.35.4. ## شو هي الثغرات التلاتة ومين متأثر بكل وحدة؟ اتنين منهن تنفيذ كود عن بعد (<span dir="ltr">RCE</span>) بلا تسجيل دخول: حدا من برّا بيقدر يشغّل كود على سيرفرك. والتالتة حجب خدمة (<span dir="ltr">DoS</span>) بتشغل المعالج لدرجة إنو العملية يلي وصلها الطلب ما عادت تعالج طلبات تانية. كل وحدة إلها شرط لحتى تصيب تطبيقك. كل ثغرة إلها صفحة تحذير أمني على <span dir="ltr">GitHub</span> برقم <span dir="ltr">GHSA</span>، وفيها تقييم الخطورة بمقياس <span dir="ltr">CVSS 4.0</span> من 10، والنسخ المصابة بهالصيغة: | الثغرة | التقييم | النسخ المصابة | بتصيب مين | في حل مؤقت؟ | | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------- | ----------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------- | | تنفيذ كود بدوال `use cache` ([<span dir="ltr">GHSA-673q-mjm6-r5xr</span>](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr)) | حرجة، 9.5 | `>=16.0.0 <=16.4.0` | <span dir="ltr">App Router</span> مع <span dir="ltr">Cache Components</span> | لأ | | تنفيذ كود بتحسين صور <span dir="ltr">SVG</span> ([<span dir="ltr">GHSA-2464-fhr4-w9xw</span>](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw)، <span dir="ltr">CVE-2026-96889</span>) | حرجة، 9.5 | `>=10.0.0 <=15.5.27` و`>16.0.0 <=16.4.0` | <span dir="ltr">Next.js</span> شغّال على <span dir="ltr">Linux</span> مبني على <span dir="ltr">glibc</span> | إي: <span dir="ltr">sharp</span> 0.35.5 أو أحدث | | حجب خدمة بالـ <span dir="ltr">Server Actions</span> ([<span dir="ltr">GHSA-p3m5-59mp-jv5r</span>](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r)) | عالية، 8.2 | `>=13.0.0 <=15.5.27` و`>=16.0.0 <=16.4.0` | <span dir="ltr">App Router</span> فيه <span dir="ltr">Server Action</span> وحدة على الأقل | لأ | ### ثغرة `use cache`: بس بـ <span dir="ltr">Next.js 16</span> الـ <span dir="ltr">Cache Components</span> هي طريقة التخزين المؤقت بـ <span dir="ltr">Next.js 16</span>: بتعلّم صفحة أو مكوّن أو دالة بتوجيه `use cache`، فبتنحفظ نتيجتها. بتنفتح بـ `cacheComponents: true` بملف `next.config` ([التوثيق](https://nextjs.org/docs/app/api-reference/config/next-config-js/cacheComponents)). الثغرة بتصير لما دالة `use cache` بترجع أكتر من <span dir="ltr">typed array</span> ومعهن قيمة بيتحكم فيها المهاجم. الـ <span dir="ltr">typed array</span> هي مصفوفة بتعرض بيانات ثنائية، متل `Uint8Array` ([<span dir="ltr">MDN</span>](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/TypedArray)). أصل الخلل بـ <span dir="ltr">React</span>، و[صفحة التحذير تبعها](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) بتوصف الحالات المصابة بإنها نادرة كتير. ما في حل مؤقت، والفريق بيقول رقّي حتى لو ما عندك هيك دالة. ### ثغرة الصور مع <span dir="ltr">SVG</span>: من <span dir="ltr">Next.js 10</span> لـ 16 <span dir="ltr">Next.js</span> بيستعمل مكتبة <span dir="ltr">sharp</span> لتحسين الصور، و<span dir="ltr">sharp</span> بتقرا ملفات <span dir="ltr">SVG</span> بمكتبة اسمها <span dir="ltr">librsvg</span>. الخلل بـ <span dir="ltr">librsvg</span>، وحسب [صفحة تحذير <span dir="ltr">sharp</span>](https://github.com/lovell/sharp/security/advisories/GHSA-wq5f-xc86-pv6w) بيقدر يوصل لتنفيذ كود بشروط معيّنة وقت التشغيل، على <span dir="ltr">Linux</span> مبني على <span dir="ltr">glibc</span>. الـ <span dir="ltr">glibc</span> هي مكتبة <span dir="ltr">C</span> الأساسية بأنظمة <span dir="ltr">GNU/Linux</span> ([<span dir="ltr">GNU</span>](https://www.gnu.org/software/libc/)). الحل المؤقت إنو <span dir="ltr">sharp</span> يلي بيستعملها <span dir="ltr">Next.js</span> تكون 0.35.5 أو أحدث. الإعداد الافتراضي ما بيحميك هون. [توثيق مكوّن الصورة](https://nextjs.org/docs/app/api-reference/components/image) بيقول إنو صور <span dir="ltr">SVG</span> ما بتتحسّن إلا مع `dangerouslyAllowSVG: true`، بس حسب [شرح الباحث يلي لاقى الخلل](https://github.com/rafabd1/VectorFreed)، صورة معمولة خصيصاً بتعدّي رفض الـ <span dir="ltr">SVG</span> بالـ <span dir="ltr">Image Optimization API</span> وبتوصل لـ <span dir="ltr">librsvg</span>. الشرط إنو المحسّن يقبل صورة بيتحكم المهاجم بمصدرها، متل رابط من دومين مسموح بـ `remotePatterns` أو ملف رفعه مستخدم. وفي طريق تاني: [ملاحظة <span dir="ltr">Netlify</span>](https://www.netlify.com/changelog/2026-10-14-nextjs-react-security-vulnerabilities/) بتقول إنو نفس الخلل بيوصله `ImageResponse` من `next/og` لما بيرسم مدخلات من المستخدم. ### ثغرة <span dir="ltr">Server Actions</span>: من <span dir="ltr">Next.js 13</span> لـ 16 الـ <span dir="ltr">Server Action</span> هي دالة <span dir="ltr">async</span> بتشتغل عالسيرفر وبتناديها الواجهة بطلب شبكة، متل الدالة يلي بتربطها بـ `action` تبع `
` ([التوثيق](https://nextjs.org/docs/app/getting-started/mutating-data)). طلبات معمولة خصيصاً لتطبيق <span dir="ltr">App Router</span> فيه وحدة منهن على الأقل بتعلّي استهلاك المعالج، فنفس العملية ما عادت تعالج طلبات تانية. تطبيقات <span dir="ltr">Pages Router</span> والتطبيقات بلا <span dir="ltr">Server Actions</span> مش متأثرة، وما في حل غير الترقية. ## كيف بتعرف نسختك ونسخة <span dir="ltr">sharp</span> يلي منزّلة فعلاً؟ من مجلد المشروع، `npx next --version` بيعطيك نسخة <span dir="ltr">Next.js</span>، و`npm ls sharp` بيعطيك نسخة <span dir="ltr">sharp</span> المنزّلة بشجرة الحزم، مش الرقم المكتوب بـ `package.json`. 1. افتح التيرمنال بمجلد المشروع وشغّل الأمرين ([توثيق next](https://nextjs.org/docs/app/api-reference/cli/next) و[توثيق npm ls](https://docs.npmjs.com/cli/v11/commands/npm-ls)). بيطلعلك رقم <span dir="ltr">Next.js</span>، وشجرة فيها كل نسخة <span dir="ltr">sharp</span> منزّلة ومين جابها: ```bash npx next --version npm ls sharp ``` إذا مشروعك على <span dir="ltr">pnpm</span> أو <span dir="ltr">yarn</span> أو <span dir="ltr">bun</span>، بدل `npm ls sharp` شغّل `pnpm why sharp` أو `yarn why sharp` أو `bun why sharp` ([<span dir="ltr">pnpm</span>](https://pnpm.io/cli/why)، [<span dir="ltr">yarn</span>](https://yarnpkg.com/cli/why)، [<span dir="ltr">bun</span>](https://bun.com/docs/pm/cli/why)). 2. شوف إذا فاتح <span dir="ltr">Cache Components</span> وإذا عندك <span dir="ltr">Server Actions</span>. إذا طلع `cacheComponents: true`، ثغرة `use cache` قريبة منك. وإذا طلعت ملفات فيها `use server`، عندك <span dir="ltr">Server Actions</span>: ```bash git grep -n "cacheComponents" git grep -ln "use server" ``` 3. لا تعتمد على `npm audit` هالمرة. الأمر بيسأل قاعدة تحذيرات <span dir="ltr">npm</span> ([التوثيق](https://docs.npmjs.com/cli/v11/commands/npm-audit))، ولحد 21 تشرين الأول 2026 القاعدة ما بترجع ولا تحذير لـ `next@16.4.0` أو `next@15.5.27`. يعني رح ينبّهك بس إذا <span dir="ltr">sharp</span> أقدم من 0.35.5. ## كيف بترقّي وبتنشر بالترتيب؟ نزّل النسخة المصلّحة، تأكد إنو <span dir="ltr">sharp</span> صارت 0.35.5 أو أحدث، ابنِ المشروع، وانشره من جديد. النسخة المصلّحة ما بتوصل للسيرفر إلا مع <span dir="ltr">build</span> ونشر جديدين. 1. نزّل النسخة بالأمر يلي فوق. مع <span dir="ltr">pnpm</span> أو <span dir="ltr">yarn</span> أو <span dir="ltr">bun</span> نفس الرقم بأمر الإضافة تبعهن، متل `pnpm add next@16.4.1` (الأوامر الأربعة بـ [دليل الترقية لـ 16](https://nextjs.org/docs/app/guides/upgrading/version-16)). 2. شغّل `npm ls sharp` (أو أمر `why` تبع مدير الحزم عندك) مرة تانية. نسخة 16.4.1 بتطلب `^0.35.5`، فالترقية بتجيب <span dir="ltr">sharp</span> المصلّحة معها. أما 15.5.28 فبتقبل `^0.34.3 || ^0.35.5` ([سجل <span dir="ltr">npm</span>](https://registry.npmjs.org/next/15.5.28))، فإذا الـ <span dir="ltr">lockfile</span> فيه 0.34 من قبل، ممكن يضل متل ما هو. وصفحة تحذير <span dir="ltr">sharp</span> بتعتبر أي نسخة أقدم من 0.35.5 مصابة. 3. إذا لسا طالعلك <span dir="ltr">sharp</span> أقدم من 0.35.5، ثبّت نسختها بمدير الحزم. مع <span dir="ltr">npm</span>: زيد المفتاح `overrides` على `package.json` يلي عندك، وشغّل `npm install`، وبعدين `npm ls sharp` لتتأكد ([توثيق overrides](https://docs.npmjs.com/cli/v11/configuring-npm/package-json)). هالرقم بيضل ثابت، فغيّره لما تطلع نسخة أحدث: ```json { "overrides": { "sharp": "0.35.5" } } ``` بـ <span dir="ltr">yarn</span> نفس الفكرة بمفتاح اسمه `resolutions` بـ `package.json` ([التوثيق](https://yarnpkg.com/configuration/manifest#resolutions)). بـ <span dir="ltr">pnpm</span> المفتاح `overrides` بس مكانه ملف `pnpm-workspace.yaml` ([التوثيق](https://pnpm.io/settings/dependency-resolution#overrides)). و<span dir="ltr">bun</span> بيقرا `overrides` من `package.json` متل <span dir="ltr">npm</span> ([التوثيق](https://bun.com/docs/pm/overrides)). بعد التثبيت، تأكد بأمر `why` تبع مديرك. 4. ابنِ المشروع بـ `npm run build`، وجرّب الصفحات يلي فيها صور وفورمات قبل النشر. 5. انشر من جديد. على <span dir="ltr">Netlify</span>، نسخ المعاينة والفروع المنشورة يلي إلها روابط عامة ممكن تضل مصابة لحد ما تنحذف لحالها، والشركة بتنصح تحذفها بإيدك. وإذا منصتك بتخلّي نسخ قديمة على روابط عامة، احذفها كمان. وإذا بتشتغل مع وكيل برمجة، `npx next@canary upgrade --agent` بلا سياسة (ولا `experimental.agentUpgrade` بـ `next.config`) بيستعمل سياسة `security`: إذا نسختك المستقرة مصابة، بيختار أحدث نسخة آمنة بأقدم خط رئيسي مؤهل. الأمر لسا تجريبي ([التوثيق](https://nextjs.org/docs/app/guides/upgrading/agent-upgrade)). ## شو بيفرق إذا تطبيقك على <span dir="ltr">Netlify</span> أو <span dir="ltr">Vercel</span> أو على سيرفرك؟ يلي بيتغيّر حسب الاستضافة هو أثر الثغرات على تطبيقك. على <span dir="ltr">Netlify</span>، حسب ملاحظتها، أثر تنتين منهن أخف، و<span dir="ltr">Vercel</span> ما نشرت ملاحظة منصة لحد 21 تشرين الأول 2026، وعلى سيرفرك إنت بتحمل الأثر كله. ### <span dir="ltr">Netlify</span> الشركة نشرت ملاحظتها بنفس يوم الإعلان. حسبها، ثغرة `use cache` بتصيب التطبيقات يلي فيها الشرط متل أي مكان تاني. تحسين الصور بـ `next/image` بيمر على <span dir="ltr">Netlify Image CDN</span> مش على الـ <span dir="ltr">function</span> تبعك، بس `ImageResponse` بيشتغل جوّا الـ <span dir="ltr">function</span>. هونيك الأثر بيوقف عند وقوع الـ <span dir="ltr">function</span>، مش تنفيذ كود. وثغرة <span dir="ltr">Server Actions</span> أثرها قليل عندهم لأن الطلب يلي بياكل المعالج بـ <span dir="ltr">function</span> ما بيأثر على باقي الطلبات، بس الاستغلال ممكن يكبّر فاتورة الـ <span dir="ltr">functions</span>. ### <span dir="ltr">Vercel</span> لحد 21 تشرين الأول 2026، [سجل تغييرات <span dir="ltr">Vercel</span>](https://vercel.com/changelog) ما فيه ملاحظة منصة عن هالثغرات متل ملاحظة <span dir="ltr">Netlify</span>. فالتعليمات يلي عندك هي إعلان <span dir="ltr">Next.js</span> نفسه: رقّي وانشر من جديد. ### سيرفرك أو <span dir="ltr">Docker</span> ثغرة <span dir="ltr">Server Actions</span> بتعلّق العملية يلي وصلها الطلب، فإذا كل موقعك شغّال بعملية <span dir="ltr">Node.js</span> وحدة، الموقع كله بيوقف. ثغرة <span dir="ltr">SVG</span> شرطها <span dir="ltr">glibc</span>، و<span dir="ltr">Alpine</span> مبنية على <span dir="ltr">musl</span> ([موقع <span dir="ltr">Alpine</span>](https://www.alpinelinux.org/about/))، فإذا صورة <span dir="ltr">Docker</span> تبعك <span dir="ltr">Alpine</span>، شرط <span dir="ltr">glibc</span> يلي بالتحذير ما بينطبق عليك. بس الخلل نفسه بـ <span dir="ltr">librsvg</span>، ونسخة <span dir="ltr">sharp</span> الجاهزة لـ <span dir="ltr">musl</span> فيها <span dir="ltr">librsvg</span> كمان ([قائمة مكتباتها](https://unpkg.com/@img/sharp-libvips-linuxmusl-x64@1.3.4/versions.json))، والباحث يلي لاقى الخلل كتب إنو وقوع العملية واحد من نتايجه. فرقّي متل أي حدا. وصفحة تحذير <span dir="ltr">sharp</span> بتضيف إنو تشغيل <span dir="ltr">Node.js</span> مبني بخيار <span dir="ltr">PIE</span> بيمنع تنفيذ الكود، وإنو نسخ <span dir="ltr">Node.js</span> الرسمية مش مبنية هيك. ## ليش لازم تخطط تنقل من 15 لـ 16 هلق؟ لأن <span dir="ltr">Next.js 15</span> بمرحلة <span dir="ltr">Maintenance LTS</span>، يعني بياخد بس تصليحات حرجة وأمنية، وسياسة الدعم بتقول إنو كل نسخة رئيسية بتضل بهالمرحلة سنتين من إصدارها. و15 طلعت بـ 21 تشرين الأول 2024. [صفحة سياسة الدعم](https://nextjs.org/support-policy) ما بتكتب تاريخ نهاية لـ 15. بس إذا حسبت سنتين من 21 تشرين الأول 2024، بتوصل لحوالي 21 تشرين الأول 2026. هاد حساب من نص السياسة، مش تاريخ مكتوب فيها. والسياسة بتقول كمان إنو الفريق ممكن يصلّح نسخ برّا الدعم بحالات نادرة، حسب خطورة الخلل. خطة النقل حسب [دليل الترقية لـ 16](https://nextjs.org/docs/app/guides/upgrading/version-16): 1. حدّث <span dir="ltr">Node.js</span> لـ 20.9 أو أحدث، و<span dir="ltr">TypeScript</span> لـ 5.1 أو أحدث إذا بتستعمله. 2. شغّل الـ <span dir="ltr">codemod</span> الرسمي من مجلد المشروع: ```bash npx @next/codemod@canary upgrade latest ``` 3. راجع التغييرات يلي بتكسر: `cookies()` و`headers()` و`params` و`searchParams` صاروا <span dir="ltr">async</span> بس، وملف `middleware` صار اسمه `proxy` (إلا إذا الـ <span dir="ltr">middleware</span> تبعك على <span dir="ltr">edge runtime</span>: الدليل بيقول خليه `middleware`)، و<span dir="ltr">Turbopack</span> صار الافتراضي بـ `next dev` و`next build`، و`next lint` انشال. 4. ابنِ وجرّب الصفحات المهمة، وبعدين انشر. لا تفتح <span dir="ltr">Cache Components</span> بس لأنك رقّيت: الدليل نفسه بيقول إنها ما لازم تنفتح لحتى تكمّل الترقية. والدليل بينصح كمان بوكيل برمجة للنقلة كلها: `npx next@canary upgrade --agent=latest` بيجهّز أدلة الترقية للوكيل، وبيطلب منه يطبّقها ويتأكد من التطبيق، وبيقدر يفتح جلسة <span dir="ltr">Claude Code</span> أو <span dir="ltr">Codex</span> منزّلة عندك. هون كمان الأمر تجريبي، فراجع التغييرات بنفسك قبل النشر. ## من وين تبلّش هلق؟ شغّل `npx next --version` و`npm ls sharp` بمشروعك. إذا <span dir="ltr">Next.js</span> أقدم من 16.4.1 أو 15.5.28، أو <span dir="ltr">sharp</span> أقدم من 0.35.5، رقّي وابنِ وانشر اليوم. الترقية بتسكّر ثغرات الإطار، بس الثغرات يلي بكودك إنت ما بتتصلّح بتحديث مكتبة: صلاحية ناقصة، أو مستخدم بيوصل لبيانات غيره بتغيير رقم بالرابط. [حزمة المهارات الأمنية](/products/security-skill-pack) (قريباً) رح تراجع كود مشروعك وتنبّهك على هيك ثغرات قبل النشر، وإنت يلي بتشغّلها. الحزمة معروضة بقسم [مهارات <span dir="ltr">AI</span>](/products/c/ai-skills)، مع باقي المهارات الجاهزة لـ <span dir="ltr">Claude Code</span> ولأدوات الذكاء الاصطناعي. وإذا بدك حدا يجرّب المنصة كلها متل ما بيجرّبها مهاجم، هاد شغل [مُحَصَّن](/muhassan). شو النسخة يلي طلعتلك؟ ## FAQ **إذا تطبيقي Pages Router بس، لازم رقّي؟** إي. ثغرة Server Actions ما بتصيب Pages Router، بس ثغرة الصور مع SVG صفحة تحذيرها ما بتحدد راوتر، وبتغطي النسخ من 10.0.0 لحد 15.5.27، ومن بعد 16.0.0 لحد 16.4.0. **أنا على Next.js 14، في نسخة 14 مصلّحة؟** لأ. صفحات التحذير بتسمّي 15.5.28 و16.4.1 بس كنسخ مصلّحة، وسياسة دعم Next.js بتحط 14 بين النسخ يلي برّا الدعم. أقرب حل إنك تنقل لـ 15.5.28 مع sharp 0.35.5، وبعدها لـ 16. وانتبه إنو السياسة بتعطي كل نسخة رئيسية سنتين من إصدارها، و15 طلعت بـ 21 تشرين الأول 2024، فنافذتها بتخلص حوالي 21 تشرين الأول 2026. خلي النقل لـ 16 قريب. **هل 16.4.2 أحسن من 16.4.1؟** إي، إذا ما في سبب يمنعك. 16.4.2 طلعت بـ 15 تشرين الأول 2026 وفيها تصليحات أغلبها لـ Turbopack، وهي بعد 16.4.0 يلي هي آخر نسخة مصابة. الإعلان طلع بـ 14 تشرين الأول، قبل ما تطلع 16.4.2 بيوم، فبيسمّي 16.4.1، أول نسخة مصلّحة. **إذا بستعمل React Server Components بإطار غير Next.js، شو بعمل؟** رقّي حزم react-server-dom-webpack أو react-server-dom-parcel أو react-server-dom-turbopack لـ 19.0.9 أو 19.1.10 أو 19.2.9 أو 19.3.1، حسب الخط يلي إنت عليه. هيك بتقول صفحات تحذير React للثغرتين الأصليتين. **هل npm audit بينبّهني على هالثغرات؟** مش على كلها. لحد 21 تشرين الأول 2026، قاعدة تحذيرات npm ما بترجع ولا تحذير لـ next على 16.4.0 أو 15.5.27، فالأمر بينبّهك بس إذا sharp أقدم من 0.35.5. اعتمد على رقم النسخة يلي عندك.