Next.js ha lanzado actualizaciones de seguridad para dos vulnerabilidades críticas que podrían permitir a atacantes remotos ejecutar código malicioso sin necesidad de iniciar sesión. Un tercer fallo de severidad alta podría impedir que las aplicaciones afectadas respondan a las solicitudes.

Los problemas afectan a las funciones almacenadas en caché, al procesamiento de imágenes SVG y a las Server Actions, con correcciones disponibles en Next.js 16.4.1 y 15.5.28. Publicados el 14 de octubre de 2026, los avisos describen rutas de ataque independientes con diferentes requisitos.

Ambos fallos de ejecución remota de código tienen una puntuación de 9.5, mientras que el problema de denegación de servicio tiene una puntuación de 8.2. La configuración de tu aplicación y las funciones que tengas habilitadas determinan la exposición, por lo que comprobar la versión es solo una parte de la evaluación de riesgos.

La primera vulnerabilidad, identificada como GHSA-673q-mjm6-r5xr, afecta a las aplicaciones de App Router que utilizan Cache Components. Una aplicación se vuelve vulnerable cuando una función "use cache" devuelve múltiples matrices tipadas. Bajo estas condiciones, los atacantes podrían lograr la ejecución remota de código sin autenticación ni interacción del usuario.

Las versiones de Next.js 16.0.0–16.4.0 están afectadas por este fallo, que se soluciona en la versión 16.4.1. Debes actualizar inmediatamente, ya que no hay una solución alternativa ni un identificador CVE disponible.

Vulnerabilidades Críticas de Next.js

Informes anteriores sobre RCE en React y Next.js resaltan los riesgos del lado del servidor, pero el fallo de caché recién revelado tiene un activador distinto y no está relacionado con React2Shell.

El segundo fallo, CVE-2026-96889, implica una debilidad relacionada con la memoria en una librería externa que la API de Optimización de Imágenes utiliza para manejar archivos SVG. Esto puede provocar la ejecución remota de código en despliegues de Next.js que se ejecuten en Linux basado en glibc. El aviso indica que no se requieren privilegios ni interacción del usuario.

El aviso oficial de optimización de imágenes enumera como versiones afectadas desde la 10.0.0 hasta la 15.5.27 y versiones superiores a la 16.0.0 hasta la 16.4.0.

Puedes solucionar este problema asegurándote de que Next.js utilice sharp 0.35.5 o posterior. Al instalar las versiones parcheadas de Next.js, te aseguras de que los gestores de paquetes proporcionen una dependencia corregida.

La tercera vulnerabilidad, GHSA-p3m5-59mp-jv5r, afecta a las aplicaciones de App Router que tengan al menos una Server Action. Solicitudes manipuladas pueden provocar un uso excesivo de la CPU, evitando que el mismo proceso gestione más solicitudes. Las aplicaciones que utilicen Pages Router, o aquellas sin Server Actions, no son vulnerables.

Las versiones afectadas incluyen desde la 13.0.0 hasta la 15.5.27 y desde la 16.0.0 hasta la 16.4.0. No hay ninguna solución alternativa más allá de actualizar. La cobertura previa de los parches de seguridad de Next.js resalta riesgos relacionados con funciones específicas, pero aquellas correcciones anteriores no sustituyen a esta actualización.

Debes instalar Next.js 15.5.28 o 16.4.1 según corresponda. Actualizar solo "sharp" soluciona el fallo de imagen, pero no las vulnerabilidades independientes de funciones en caché o de Server Actions.