Resumo
O Next.js 16.4.1 corrige três falhas de segurança. Duas permitem execução remota de código sem autenticação e recebem classificação crítica: uma envolve funções use cache que retornam typed arrays e a outra afeta a otimização de imagens com SVG. A terceira, classificada como alta, permite negação de serviço no App Router com Server Actions.
Novidades
A publicação apresenta manutenção de segurança, sem descrever novos recursos para a aplicação.
Melhorias
As notas não apresentam melhorias separadas das três correções de segurança.
Correções
- Next.js 16.4.1 — Retornos do cache: a correção para funções
use cacheque retornam typed arrays corresponde ao aviso GHSA-673q-mjm6-r5xr. - Next.js 16.4.1 — Imagens SVG: a API de otimização de imagens recebe a correção descrita no aviso GHSA-2464-fhr4-w9xw.
- Next.js 16.4.1 — Server Actions: a versão corrige a negação de serviço no App Router registrada em GHSA-p3m5-59mp-jv5r.
Ponto de Atenção
A publicação identifica as áreas afetadas e remete aos avisos oficiais para os detalhes. Confira as condições aplicáveis à sua instalação. A correção de use cache aparece nesta release e não é listada nas notas da 15.5.28.
Teste sugerido: atualize a aplicação em homologação e execute o build. Confira o retorno de uma função use cache com typed array quando esse recurso existir no projeto. Verifique também as imagens utilizadas e uma Server Action existente.
Notas da versão
O release oficial do Next.js 16.4.1 foi publicado em 14/10/2026 às 17h47 UTC como versão estável.