كان أكتوبر 2026 شهرًا مزدحمًا لمن يبني مواقع وتطبيقات ويب: إصدار جديد من Next.js، وتحديث أمني خارج الجدول لثغرتين حرجتين، ثم دفعة تحديثات أمنية لكل إصدارات Node.js المدعومة. هذا ملخص ما يهم صاحب المشروع وفريقه.
Next.js 16.4 (6 أكتوبر)
أهم رسالة في الإصدار أن فريق Next.js صار يوصي بنموذج Cache Components لكل التطبيقات، وأن المشاريع الجديدة عبر create-next-app تبدأ به مفعّلًا، وسيصبح الافتراضي في Next.js 17.
- ensureStatic: إعداد يضمن أن الصفحة أو القالب يبقى ثابتًا، ويُفشل البناء إذا دخله محتوى ديناميكي بالخطأ. مفيد للمتاجر وصفحات التسويق والمدونات لتقليل تكلفة الخادم.
- navigation() وprefetch(): تحكم أدق فيما يُحمَّل مسبقًا وما يُؤجَّل حتى يفتح الزائر الصفحة فعلًا.
- next upgrade --agent: أمر يجهّز لوكيل البرمجة خطوات الترقية والأدوات اللازمة ويتحقق أن التطبيق ما زال يعمل.
- تحسينات للجميع: ذاكرة تخزين Turbopack على القرص أصغر بنسبة 20–25%، وحزم إنتاج أصغر، وReact 19.3 مع View Transitions مستقرة.
تحديث أمني عاجل (14 أكتوبر)
أصدر Next.js النسختين 16.4.1 و15.5.28 لإغلاق ثلاث ثغرات: اثنتان حرجتان تسمحان بتنفيذ كود عن بُعد دون تسجيل دخول (في دوال use cache التي ترجع typed arrays، وفي واجهة تحسين الصور مع ملفات SVG على خوادم Linux)، وثالثة عالية الخطورة تسبب تعطيل الخدمة عبر Server Actions.
Node.js: إغلاق 10 ثغرات (21 أكتوبر)
صدرت النسخ 26.12.1 و24.22.1 و22.23.4 بإصلاح 10 ثغرات: 4 عالية و3 متوسطة و3 منخفضة. أبرزها خلل في فك ضغط Brotli قد يؤدي إلى تنفيذ كود، ومشاكل في التحقق من شهادات TLS عند كتابة عناوين IP بصيغ غير معتادة، وثغرة في دوال DNS. كما حُدّثت مكتبات مثل OpenSSL وUndici.
ما الذي تفعله الآن؟
- اعرف إصدار Next.js وNode.js الفعلي في مشروعك وعلى الخادم، لا في جهاز المطور فقط.
- حدّث Next.js إلى 16.4.1 أو أحدث (أو 15.5.28)، وNode.js إلى آخر نسخة في خطّك.
- إن كانت الاستضافة مُدارة (Vercel أو Render أو غيرها) فتأكد من إصدار Node المحدد في إعدادات المشروع.
- شغّل الاختبارات وافحص صفحات الدفع والنماذج بعد التحديث.
موقع إيفان كود نفسه يعمل على Next.js 16.4.2، أي بعد التحديث الأمني. وإن كان مشروعك يحتاج مراجعة أو ترقية، فخدمة «فحص مشروعك» تعطيك تقريرًا واضحًا بما يلزم.