Next.js ha publicado una actualización urgente que corrige dos fallos críticos de ejecución remota de código (CVSS 9,5) y uno de denegación de servicio. Afecta a webs, tiendas y portales de cliente hechos con este framework. Pide hoy a tu equipo o proveedor que actualice a la 16.4.1 o a la 15.5.28 y redespliegue.
Lo esencial
- Next.js publicó el 14 de octubre una actualización fuera de ciclo. INCIBE-CERT la recogió el 16 de octubre con importancia 5 (crítica): 3 vulnerabilidades, 2 críticas y 1 alta.
- Vercel puntuó los dos fallos de ejecución de código con CVSS 9,5, según The Hacker News.
- CVE-2026-96889 (imágenes SVG) afecta a las versiones 10.0.0 a 15.5.27 y 16.0.0 a 16.4.0.
- GHSA-673q-mjm6-r5xr (
use cache) afecta a las versiones 16.0.0 a 16.4.0. GHSA-p3m5-59mp-jv5r (Server Actions, denegación de servicio) afecta a las 13.0.0 a 15.5.27 y 16.0.0 a 16.4.0. - Versiones corregidas: 16.4.1 y 15.5.28 (esta última, con sharp 0.35.5 o posterior). A 15 de octubre no había informes públicos de ataques.
¿Me afecta si mi web la hizo una agencia?
Sí, si está hecha con Next.js. Da igual quién la programara: lo que cuenta es la versión que corre en el servidor. Afecta a webs corporativas, tiendas online, portales de cliente y productos SaaS.
No todos los fallos aplican a todas las apps:
use cache: solo si usas App Router con Cache Components activado y una funciónuse cacheque devuelve más de un typed array. Solo afecta a la rama 16.- SVG: solo si la app pasa SVG controlados por un atacante a sharp en Linux basado en glibc. Por defecto, Next.js no optimiza SVG; hace falta haber activado el ajuste
dangerouslyAllowSVG. - Server Actions: el de alcance más amplio, desde la versión 13.0.0.
Tú no tienes por qué saber si tu app cumple esas condiciones. Tu proveedor sí. La pregunta útil no es "¿estamos expuestos?", sino "¿en qué versión estamos y cuándo actualizáis?".
¿Por qué no ha saltado ninguna alerta?
Porque dos de los tres fallos no tenían CVE a 15 de octubre. Los avisos de use cache y Server Actions tampoco aparecían en el feed de npm que usa npm audit, según The Hacker News. Si tu equipo confía en el escáner de dependencias para enterarse de estas cosas, esta vez puede que no le haya avisado.
¿Basta con actualizar Next.js?
Casi. Hay una trampa en la rama 15: la 15.5.28 todavía admite sharp 0.34.x, que es vulnerable. Si se actualiza sobre una instalación existente, sharp puede quedarse en esa versión. Hay que comprobarlo con npm ls sharp y subir a la 0.35.5 o posterior si hace falta.
Además, actualizar el paquete no protege nada hasta que se reconstruye y redespliega la aplicación.
Qué hacer hoy
- Escribe a quien mantiene tu web o tu producto y pregunta si usa Next.js y en qué versión.
- Si está en la rama 16, que actualice a la 16.4.1. Si está en la 15, a la 15.5.28.
- En la rama 15, pide que ejecuten
npm ls sharpy confirmen que sharp es la 0.35.5 o posterior. - Exige que reconstruyan y redesplieguen, y que te confirmen por escrito la versión en producción.
- Si no pueden actualizar hoy: para el fallo de SVG, subir sharp a la 0.35.5 o posterior, o bloquear el renderizado de SVG en sharp. Los otros dos fallos no tienen solución alternativa; solo los cierra la actualización.
Qué significa para una pyme
No hay ataques conocidos. Eso es una ventana, no un motivo para esperar. Un fallo de ejecución remota de código con CVSS 9,5 en el servidor que sirve tu tienda o tu portal de clientes es el tipo de agujero por el que salen datos personales. Si eso ocurre, ya no hablas de un parche: hablas de gestionar una brecha y valorar si notificarla según el RGPD. Actualizar hoy cuesta mucho menos.
Hay una lectura de fondo. Es la tercera vez desde agosto que el procesado de imágenes en Next.js produce un fallo de ejecución de código. Y dos de estos avisos no aparecían en las herramientas automáticas. Si tu web depende de un proveedor externo, el contrato debería decir quién vigila estos avisos y en cuánto tiempo se actualiza. Si nadie tiene esa tarea asignada, en la práctica no la hace nadie. Si quieres ayuda para ordenarlo, tienes nuestro servicio de ciberseguridad.
Preguntas frecuentes
¿Están atacando ya estos fallos?
A 15 de octubre no había informes públicos de ataques con ninguno de los tres. Ahora que los detalles son públicos, conviene no apurar esa ventana.
¿Me protege no usar imágenes SVG?
Solo frente a CVE-2026-96889. Los fallos de use cache y Server Actions no dependen de las imágenes y solo se cierran actualizando.
¿Qué versión es la segura?
La 16.4.1 en la rama 16, o la 15.5.28 en la rama 15 con sharp 0.35.5 o posterior.
