Una vulnerabilidad de severidad alta en Next.js amenaza a las aplicaciones web autoalojadas con graves filtraciones de datos.

Los actores de amenazas ahora pueden explotar un fallo de Falsificación de Solicitud del Lado del Servidor (SSRF) para robar silenciosamente credenciales de la nube, recolectar claves API y acceder a paneles de administración internos sensibles.

Si tu organización utiliza entornos de Next.js autoalojados, debes aplicar el parche inmediatamente para evitar que los atacantes se desplacen hacia tus redes internas.

El fallo de Next.js expone credenciales

La vulnerabilidad, rastreada como CVE-2026-44578, se origina en la forma en que el servidor Node.js integrado de Next.js gestiona las solicitudes de actualización de WebSocket.

Los atacantes pueden enviar solicitudes de WebSocket especialmente diseñadas que engañan al servidor para que actúe como un proxy. Esto obliga al servidor a reenviar solicitudes maliciosas a destinos internos o externos arbitrarios.

Debido a que el propio servidor ejecuta la solicitud, se saltan los firewalls externos. Los atacantes pueden usar esta posición de confianza para consultar servicios de red internos, acceder a paneles de administración desprotegidos o llegar a los puntos finales de metadatos de la nube.

Los puntos finales de metadatos de la nube son objetivos particularmente valiosos porque a menudo almacenan credenciales IAM temporales, tokens de API y secretos de despliegue.

Esta vulnerabilidad de SSRF impacta estrictamente a las aplicaciones de Next.js autoalojadas que dependen del servidor Node.js predeterminado.

Si tu aplicación se ejecuta en Vercel, estás completamente a salvo de este exploit. La infraestructura de Vercel no utiliza la implementación de enrutamiento de WebSocket vulnerable.

Si gestionas tu propia infraestructura, debes verificar tu versión de Next.js. El fallo afecta a dos rutas de lanzamiento distintas en el ecosistema de Next.js.

El equipo de mantenimiento de Next.js ha lanzado parches de seguridad que aplican controles de seguridad estrictos al manejo de actualizaciones de WebSocket.

Ahora, el servidor solo actúa como proxy en las solicitudes de actualización cuando las configuraciones de enrutamiento las marcan explícitamente como reescrituras externas seguras.

Tim Neutkens reveló GHSA-c4j6-fc7j-m34r en GitHub, aconsejando a los desarrolladores actualizar a Next.js 15.5.16 o 16.2.5 inmediatamente. En los casos donde no sea posible aplicar el parche, se recomiendan protecciones a nivel de red.

Tú, como administrador, deberías configurar proxies inversos o equilibradores de carga para bloquear todas las solicitudes de actualización de WebSocket si la aplicación no los utiliza activamente.

Además, los equipos de seguridad deben restringir el tráfico saliente del servidor de origen, bloqueando completamente el acceso a los servicios internos de metadatos de la nube y a redes internas no relacionadas.