Actualización Crítica de Seguridad de Next.js: Dos RCE y un DoS que Debes Parchear Ya

El 14 de octubre de 2026 el equipo de Next.js publicó una actualización de seguridad fuera de ciclo que corrige tres vulnerabilidades: dos de severidad crítica con ejecución remota de código y una de severidad alta de denegación de servicio. Si tienes aplicaciones Next.js en producción, actualiza hoy.

Versiones parcheadas

bashCopiar
npm install next@16.4.1   # rama 16.x (Active LTS)
npm install next@15.5.28  # rama 15.x (Maintenance LTS)

RCE en use cache con typed arrays (Crítica)

GHSA-673q-mjm6-r5xr (relacionada con la advisory de React GHSA-xqc2-xf4c-x3h3) permite ejecución remota de código sin autenticación en aplicaciones que usan App Router con Cache Components, cuando una función use cache devuelve múltiples typed arrays.

El escenario parece exótico, pero no lo es tanto: cualquier función cacheada que devuelva Uint8Array, Float64Array u otros typed arrays — por ejemplo, datos binarios, thumbnails procesados o resultados de WASM — puede ser vector de ataque.

No existe workaround. Aunque creas que tu aplicación no tiene funciones similares, la recomendación oficial es actualizar igualmente. Con los RCE, la superficie de ataque real siempre es mayor que la que puedes auditar a mano.

RCE en Image Optimization con SVG (Crítica)

CVE-2026-96889 / GHSA-2464-fhr4-w9xw es una vulnerabilidad de memoria en una librería upstream usada por la API de optimización de imágenes. Es explotable cuando Next.js corre sobre Linux con glibc — es decir, la inmensa mayoría de los despliegues en producción.

Hay un workaround parcial: asegurarte de que la versión de sharp que resuelve tu proyecto es 0.35.5 o superior:

bashCopiar
npm list sharp
npm install sharp@latest

Actualizar Next.js a la versión parcheada garantiza que el package manager resuelva automáticamente una versión corregida de sharp, así que ese sigue siendo el camino recomendado.

DoS en Server Actions (Alta)

GHSA-p3m5-59mp-jv5r (relacionada con GHSA-h3gv-c5rc-p453 de React) permite que peticiones manipuladas contra una aplicación con App Router y al menos una Server Action provoquen consumo excesivo de CPU. El proceso queda bloqueado y deja de atender peticiones: denegación de servicio clásica.

Las aplicaciones que solo usan Pages Router, o que no tienen ninguna Server Action, no son vulnerables. En la práctica, casi cualquier app moderna con formularios o mutaciones tiene Server Actions.

Checklist de respuesta

1. Actualiza a 16.4.1 o 15.5.28 según tu rama. Es un parche, no hay breaking changes.
2. Verifica sharp si usas optimización de imágenes: debe ser ≥ 0.35.5.
3. Revisa tus despliegues serverless y contenedores: reconstruye las imágenes Docker para que recojan la dependencia actualizada.
4. Audita logs de los últimos días buscando patrones anómalos en rutas de imágenes (/_next/image) y endpoints de Server Actions.
5. Comprueba todas tus apps. Es fácil acordarse del proyecto principal y olvidar el microsite, la demo interna o el staging expuesto a internet.

Contexto: el nuevo proceso de seguridad de Next.js

Desde julio de 2026, Next.js sigue un proceso formal de security releases mensuales, con avisos previos cuando una release programada se acerca. Esta actualización fue fuera de ciclo porque dos de los fixes dependían de parches upstream (React y la librería de imágenes) que se retrasaron respecto a la release de septiembre.

La lección práctica: suscríbete a las advisories de GitHub para vercel/next.js y trata las actualizaciones de seguridad como despliegues prioritarios, no como mantenimiento de fin de sprint.