Next.js 九月安全双响：从 ImageResponse RCE 到 16.3.8 的九个修复

2026 年 9 月，Next.js 连续发布两次安全更新：9 月 22 日针对 Satori 上游漏洞的 Node.js ImageResponse 远程代码执行修复（16.3.6 / 15.5.26），以及 9 月 30 日覆盖九个漏洞的例行安全发布（16.3.8 / 15.5.27）。本文梳理漏洞影响面、版本路线与升级建议。