Next.js publicó el 14 de octubre de 2026 las versiones 16.4.1 y 15.5.28 para corregir dos fallos críticos que permiten ejecutar código en el servidor sin iniciar sesión y un tercero que puede tumbar la web. Según la versión y la configuración, afecta a las webs y tiendas hechas con Next.js que no hayan actualizado.
Lo que se sabe
- La actualización: según el blog oficial de Next.js, es una publicación fuera de calendario. Incluye dos arreglos que se aplazaron en la de septiembre por retrasos en dependencias externas.
- Fallo 1, crítico (GHSA-673q-mjm6-r5xr): afecta a apps con App Router y Cache Components cuando una función `use cache` devuelve varios arrays tipados. El aviso de GitHub le da 9,5 sobre 10 (CVSS 4) y lo limita a las versiones 16.0.0 a 16.4.0. No hay solución temporal: Next.js pide actualizar «de inmediato» aunque la app no tenga funciones así.
- Fallo 2, crítico (CVE-2026-96889): está en una librería externa que usa la optimización de imágenes y se activa con archivos SVG cuando Next.js corre en Linux con glibc. También 9,5. Afecta de la 10.0.0 a la 15.5.27 y de la 16.0.0 a la 16.4.0, según el aviso de GitHub.
- Fallo 3, alto (GHSA-p3m5-59mp-jv5r): peticiones preparadas pueden disparar el uso de CPU y bloquear la app. Solo afecta a apps con App Router y al menos una Server Action, de la 13.0.0 a la 15.5.27 y de la 16.0.0 a la 16.4.0. Nota de 8,2.
- Qué instalar: 16.4.1 para la rama 16 y 15.5.28 para la 15.
- Explotación: según The Hacker News, a 15 de octubre no se conocían ataques con estos fallos.
Qué cambia y qué no
Cambia la urgencia: dos fallos críticos sin autenticación en un framework muy usado para webs y tiendas, y Next.js pide actualizar de inmediato.
No afecta a las webs hechas con WordPress, Drupal u otros gestores. Tampoco a las apps con Pages Router en el caso del fallo 3. Los avisos solo dan versiones corregidas en las ramas 15.5 y 16.4: quien esté en una rama anterior tiene que subir de rama.
Cómo saber si te afecta
- Mira la versión. En la carpeta del proyecto, `npm ls next` y `npm ls sharp`. Si Next.js está entre la 10.0.0 y la 15.5.27, o entre la 16.0.0 y la 16.4.0, al menos uno de los tres puede afectarte, según tu configuración.
- Actualiza a la rama que toca. `npm install next@16.4.1` o `npm install next@15.5.28`, y vuelve a publicar la web. Después repite `npm ls sharp`: debe ser 0.35.5 o mayor.
- Si no puedes actualizar hoy, el único fallo con solución temporal es el de las imágenes SVG: forzar sharp 0.35.5 o mayor. Los otros dos no tienen alternativa a actualizar.
- Si tu web está en Vercel, Netlify u otra plataforma, la actualización la haces tú en el código: la plataforma no cambia tu versión de Next.js.
- Si la web la mantiene otra persona o una agencia, pregúntale hoy qué versión de Next.js usa y cuándo la actualiza.
Relacionado: Diseño y desarrollo de páginas web
Fuentes
- Next.js, «Next.js Security Update for Upstream Vulnerabilities», 14 de octubre de 2026 (en inglés)
- GitHub, aviso GHSA-673q-mjm6-r5xr (en inglés)
- GitHub, aviso GHSA-2464-fhr4-w9xw / CVE-2026-96889 (en inglés)
- GitHub, aviso GHSA-p3m5-59mp-jv5r (en inglés)
- The Hacker News, 15 de octubre de 2026 (en inglés)
Actualizaciones: si aparecen ataques con estos fallos o Next.js publica una nueva versión, se añadirá aquí con su enlace.