Next.js 10 月安全更新解析：两个未认证 RCE 与一条必须执行的升级路径

2026 年 10 月 14 日，Vercel 发布带外安全更新 Next.js 16.4.1 / 15.5.28，修复两个 CVSS 9.5 的未认证远程代码执行漏洞（use cache 返回 typed arrays、SVG 图像优化）与一个 Server Actions 拒绝服务漏洞。本文梳理三个公告的影响范围与根因链路，重点说明 15.x 升级时 sharp 依赖的隐藏陷阱、依赖扫描盲区，以及自托管应用的修复与验证步骤。