20 ژوئیه 2026: انتشار امنیتی ژوئیه، که در ابتدا برای 20 ژوئیه هدف گذاری شده بود، اکنون در تاریخ انتظار می رود 21 جولای 2026.
ما روی امنیت در هر مرحله از چرخه حیات Next.js سرمایه‌گذاری می‌کنیم، از تجزیه و تحلیل استاتیک و اسکن در حین نگارش کد گرفته تا انتشار بسته‌های قابل تأیید و همکاری نزدیک با محققانی که به‌طور مسئولانه آسیب‌پذیری‌ها را افشا می‌کنند. اکسپلویت React2Shell که در دسامبر گذشته فاش شد، نمونه‌ای از این فرآیند است که طبق برنامه کار می‌کند و ما از آن زمان به توسعه برنامه امنیتی خود ادامه داده‌ایم. به عنوان بخشی از این فرآیند، امروز ما در حال رسمی کردن یک برنامه انتشار امنیتی برای Next.js هستیم.
حجم تحقیقات مربوط به آسیب‌پذیری‌های صنعت به سرعت در حال رشد است که توسط یک کشف به کمک LLM رهبری می‌شود: موزیلا اخیراً 271 مشکل را در یک نسخه از فایرفاکس فاش کرده است که همه توسط پیش‌نمایش Mythos Anthropic شناسایی شده‌اند. ما از همان دسته از ابزارها علیه Next.js خودمان، از طریق deepsec، محققان خود، و دامنه گسترده‌ای برای پاداش‌های باگ استفاده می‌کنیم، بنابراین مشکلات بیشتری قبل از اینکه توسط مهاجمان کشف شوند به ما می‌رسند.
از لحاظ تاریخی، این تیم وصله‌های موقتی را برای رفع مشکلات امنیتی منتشر کرده است. این موارد نادر بودند اما بدون اطلاع قبلی آمدند و باعث اختلال در کاربران ما شدند. امروز، ما به یک برنامه رسمی انتشار امنیتی با به‌روزرسانی‌هایی می‌رویم که تیم‌ها می‌توانند برای آن برنامه‌ریزی کنند. این نوع انتشار امنیتی برنامه ریزی شده و از پیش اعلام شده به یک روش استاندارد برای پروژه های بزرگ منبع باز تبدیل شده است، و ما فکر می کنیم که مدل مناسبی برای Next.js در مقیاس فعلی آن است.
این چیزی است که در آینده می توانید انتظار داشته باشید: تقریباً یک بار در ماه، ما یک اخطار قبلی در مورد نسخه های امنیتی آینده در اینجا در وبلاگ Next.js ارسال می کنیم. هر پیام شامل جدول زمانی انتشار مورد انتظار و بالاترین شدت مورد انتظار در میان آسیب‌پذیری‌هایی است که پوشش می‌دهد. این زمان به شما امکان می‌دهد تا ارتقاء خود را برنامه‌ریزی کنید و به ما اجازه می‌دهد تا با ارائه‌دهندگان میزبانی و سایر شرکای پلتفرم برای اجرای اقدامات کاهشی، مانند قوانین فایروال، که به محافظت از برنامه‌هایی که هنوز وصله نشده‌اند، هماهنگ کنیم.
برای افشای فوری که نمی‌توان منتظر ماند، یا آسیب‌پذیری‌هایی که در حال حاضر در طبیعت مورد سوء استفاده قرار می‌گیرند، ما همچنان اصلاحات موقتی را منتشر می‌کنیم. ما متعهد هستیم که کد شما را در اسرع وقت حفظ کنیم. اطلاعات مربوط به این نسخه‌های موقت نیز در این وبلاگ به اشتراک گذاشته خواهد شد، همانطور که برای React2Shell و سایر آسیب‌پذیری‌هایی که در تحقیقات بعدی کشف کردیم، انجام دادیم.
اولین نسخه امنیتی برنامه ریزی شده ما برای انتشار هدف قرار خواهد گرفت 21 جولای 2026. این شامل انتشارات پچ برای Next.js خواهد بود 16.2 و 15.5، رسیدگی به مسائل امنیتی متعدد. این شامل رفع 4 آسیب پذیری با شدت بالا و 5 آسیب پذیری با شدت متوسط است. ما یک پست وبلاگ حاوی مشخصات به‌روزرسانی، از جمله جزئیات تمام CVEها، پس از اینکه اصلاح در دسترس باشد، منتشر خواهیم کرد.
ما با مجموعه ای از محققان با استعداد کار می کنیم تا Next.js و سایر فریم ورک ها را از طریق جایزه اشکال منبع باز Vercel منبع باز کنیم. هر کسی که علاقه مند به مشارکت در امنیت چارچوب های واجد شرایط است، تشویق می شود در آنجا شرکت کند.
هر گونه سوال یا نگرانی در مورد برنامه های امنیتی یا مدیریت آسیب پذیری ما می تواند به آدرس security@vercel.com ارسال شود.
