Fallos críticos en Next.js: qué versiones actualizar si tienes una aplicación en tu servidor
Next.js publicó parches de urgencia para dos fallos críticos que permiten ejecutar código sin autenticación y uno de denegación de servicio. Versiones afectadas, versiones seguras y cómo actualizar en tu VPS.
En este artículo
El 14 de octubre, Next.js publicó una actualización de seguridad fuera de calendario. No era una más: corregía dos fallos críticos que permiten ejecutar código en el servidor sin autenticación y otro grave de denegación de servicio. Si tienes una aplicación Next.js en tu propio servidor, este es el resumen de lo que tienes que hacer.
Los tres fallos
| Fallo | Gravedad | Versiones afectadas | Corregido en |
|---|---|---|---|
Caché con "use cache" (GHSA-673q-mjm6-r5xr) | Crítica (CVSS 9.5) | 16.0.0 a 16.4.0 | 16.4.1 |
| Optimización de imágenes con SVG (CVE-2026-96889) | Crítica | Hasta 15.5.27 y 16.0.0 a 16.4.0, en Linux con glibc | 15.5.28 / 16.4.1 |
| Server Actions, denegación de servicio (GHSA-p3m5-59mp-jv5r) | Alta (8.2) | 13.0.0 a 15.5.27 y 16.0.0 a 16.4.0 | 15.5.28 / 16.4.1 |
Para el fallo de las imágenes SVG ya circula un exploit de prueba. Si tu aplicación usa la optimización de imágenes de Next.js (el componente next/image), está expuesta hasta que actualices.
Cómo actualizar
- Comprueba tu versión:
npm ls next sharp - Actualiza Next.js a la 16.4.1 o superior (o a la 15.5.28 si sigues en la rama 15):
npm install next@^16.4.1 npm run build - Reinicia la aplicación (PM2, systemd, Docker o lo que uses). Si no reinicias, sigue corriendo la versión vulnerable en memoria.
- Si usas Docker reconstruye la imagen y recrea el contenedor (qué es Docker).
Para el fallo de las imágenes hay un paliativo: actualizar la dependencia sharp a la 0.35.5 o superior. Para el de "use cache" no hay alternativa: hay que actualizar Next.js.
Actualización del 21 de octubre: Node.js también
Una semana después, Node.js publicó parches de seguridad que corrigen diez vulnerabilidades en sus versiones con soporte: 26.12.1, 24.22.1 y 22.23.4. Si tu aplicación corre en tu propio servidor, actualiza también Node.js y reinicia.
¿Y Vercel u otras plataformas?
Las plataformas gestionadas suelen aplicar mitigaciones por su cuenta, pero la recomendación de todos es la misma: actualizar la versión de Next.js de tu proyecto y volver a desplegar.
Nuestra propia web funciona con Next.js. Cuando salió el aviso ya estaba en una versión corregida, con sharp actualizado y Node.js en una versión parcheada. Mantener al día el software del servidor es, literalmente, nuestro trabajo.
Si despliegas aplicaciones Node.js o Next.js, un VPS no administrado te da root, KVM y recursos garantizados en Madrid. Y si prefieres que mantengamos nosotros el sistema y los parches, tienes el VPS administrado.
Ver VPSFuentes: The Hacker News, CSA Singapur, NHS England Digital, Brandefense.
Rackmarkt
Tu aplicación en un VPS en Madrid
Node.js, Next.js, Docker y lo que necesites con acceso root, recursos garantizados con KVM e IP española.
Ver VPS no administrados
Equipo de Rackmarkt
Escrito por el equipo técnico que administra nuestra plataforma de hosting, VPS y servidores. Conoce a nuestro soporte.
