Si tienes un sitio hecho con Next.js, el framework de React para construir aplicaciones web, toca actualizar. El 14 de octubre de 2026 Vercel publicó una actualización de seguridad fuera de calendario que corrige tres fallas, dos de ellas críticas.
Ya estaba anunciada desde la semana pasada: incluye dos arreglos que se habían pospuesto en la actualización de septiembre porque dependían de cambios en otras librerías.
¿Qué pasó?
Las versiones corregidas son 16.4.1 para la rama 16.4 y 15.5.28 para la rama 15.5. Estas son las tres fallas:
Ejecución de código en funciones con caché (crítica). Afecta a apps que usan App Router con Cache Components cuando una función marcada con use cache regresa arreglos tipados, un tipo especial de lista de datos. Un atacante sin cuenta podría ejecutar código en tu servidor. No hay forma de evitarlo sin actualizar, y Vercel pide actualizar aunque tu app no tenga funciones así.
Ejecución de código en la optimización de imágenes con SVG (crítica, CVE-2026-96889). Viene de un error de memoria en una librería externa que Next.js usa para procesar imágenes, y afecta cuando el servidor corre en Linux con glibc. Mientras actualizas, la medida temporal es usar la librería sharp en su versión 0.35.5 o posterior.
Caída del servicio con Server Actions (alta). Peticiones preparadas pueden disparar el uso del procesador y bloquear las demás solicitudes. Solo afecta a apps con App Router que tengan al menos una Server Action; las que usan Pages Router no están en riesgo.
¿Por qué te importa?
Dos de las tres fallas no requieren iniciar sesión, así que cualquier app pública con una versión afectada está expuesta. Y una vez que los detalles de una falla son públicos, conviene no dejar pasar días antes de parchar.
Tampoco basta con que tu proveedor de hospedaje tenga protecciones. Netlify, por ejemplo, aclara que sus sitios con versiones sin parche siguen expuestos si cumplen las condiciones, y que las vistas previas de despliegue antiguas pueden seguir vulnerables hasta que se borren.
¿Qué puedes hacer?
- Actualiza
nexta la versión 16.4.1 o 15.5.28, según la rama que uses, y vuelve a desplegar tu app. - Revisa en tu archivo de bloqueo de dependencias que
sharpquede en la versión 0.35.5 o posterior. - Si no puedes actualizar hoy, actualiza al menos
sharppara cerrar la falla de las imágenes SVG. - Borra las vistas previas y despliegues de ramas viejos que sigan públicos con versiones sin parche.
- Activa las alertas de seguridad de dependencias en tu repositorio para enterarte a tiempo de la próxima.
Sigue leyendo
- Next.js 16.3.8 corrige siete fallas de seguridad: actualiza ya
- Next.js 16.4 recomienda Cache Components para todas las apps
Fuentes
- Blog de Next.js: Next.js Security Update for Upstream Vulnerabilities
- Netlify: Next.js & React security release (Oct 2026): what to know
Imagen de portada: imagen de fancycrave1 en Pixabay.