Si tienes un sitio hecho con Next.js, hoy toca actualizar. El equipo del framework, es decir, del conjunto de herramientas que usan miles de sitios hechos con React, publicó un paquete de correcciones de seguridad.
La falla más seria afecta a la optimización de imágenes y las demás tienen que ver con la caché, la memoria donde el sitio guarda páginas ya preparadas para servirlas más rápido.
¿Qué pasó?
El 30 de septiembre de 2026 Vercel, la empresa detrás de Next.js, liberó las versiones 16.3.8 y 15.5.27. Corrigen siete vulnerabilidades: una de severidad alta, cinco medias y una baja. Netlify, otra plataforma donde se alojan sitios de Next.js, confirmó las mismas versiones y la misma lista.
La de severidad alta es una falsificación de peticiones del lado del servidor, conocida como SSRF. Con ella, un atacante puede usar el optimizador de imágenes para que tu servidor haga peticiones a lugares que no debería, como direcciones de una red privada. Solo afecta si configuraste images.remotePatterns, la lista de dominios externos de donde tu sitio puede cargar imágenes.
Varias fallas medias permiten envenenar la caché: un atacante logra que una página guardada se reemplace con contenido de otra ruta, y todos los visitantes ven lo incorrecto hasta que la página se regenera. Otra puede filtrar contenido sin publicar del modo borrador a visitantes normales si usas la función de componentes con caché.
¿Por qué te importa?
Next.js es una de las formas más populares de construir sitios con React, así que estas fallas tocan a muchísimos proyectos, desde tiendas en línea hasta blogs de empresa.
No todos los sitios están expuestos igual. Vercel aclara que las aplicaciones alojadas en su plataforma no sufren uno de los envenenamientos de caché, y Netlify dice que su arquitectura frena la falla de imágenes, la fuga del modo borrador y la del servidor de desarrollo. Si alojas tu sitio en tu propio servidor, tienes más razones para actualizar pronto.
La falla de severidad baja es curiosa: el servidor de desarrollo, el que corres en tu computadora mientras programas, expone datos de tu proyecto a cualquier página maliciosa que visites. No afecta a sitios en producción, pero sí a tu equipo de trabajo.
Cómo actualizar
Según el anuncio oficial, basta con instalar la versión corregida de tu rama. Usa la primera línea si estás en la rama 16.3 y la segunda si sigues en 15.5. Después vuelve a desplegar tu sitio para que el cambio llegue a producción.
npm install next@16.3.8
npm install next@15.5.27¿Qué puedes hacer?
- Revisa tu archivo de configuración: si usas
images.remotePatterns, deja solo los dominios que de verdad necesitas. - Si alojas en Netlify, vuelve a desplegar para que se instale la versión corregida de su adaptador.
- Mientras programas, evita navegar por sitios desconocidos con el servidor de desarrollo encendido hasta actualizar.
- Activa las alertas de dependencias de GitHub o de tu gestor de paquetes para enterarte a tiempo del siguiente parche.
Fuentes
- Blog de Next.js: September 2026 Security Release
- Netlify: Next.js security release (Sept 2026): what to know
[…] Next.js 16.3.8 corrige siete fallas de seguridad: actualiza ya […]