Saltar al contenidoistheinternetok
Todos los incidentes

Fallo de seguridad·Crítica

Next.js: dos fallos críticos de ejecución remota de código

Arreglo disponibleAfecta a quien tiene una web
Next.js, sharp

Qué cambia para ti

Nada visible para usted; los dueños de sitios deben actualizar.

Next.js, un framework muy popular para crear sitios web, corrigió dos fallos críticos que podían permitir a un atacante tomar el control de un servidor, además de otro que puede dejar los sitios sin responder. Los visitantes no tienen que hacer nada; los dueños de sitios con Next.js deben actualizar.

Inicio: 14 oct 2026Actualizado: 14 oct 2026

Publicar en X

¿Qué hago?

Tú
No hay que hacer nada.
Si tienes una web o una app
Actualice next a la 16.4.1 (16.x) o a la 15.5.28 (15.x) y vuelva a desplegar. El fallo de use cache no tiene solución alternativa. Si no puede actualizar enseguida, asegúrese de que la versión de sharp que usa Next.js sea la 0.35.5 o posterior.

Qué está afectado

CVE-2026-96889

Cronología

  1. Arreglo disponible · 14 oct 2026

    Salen Next.js 16.4.1 y 15.5.28: corrigen una ejecución remota de código sin autenticación en funciones use cache que devuelven arrays tipados (GHSA-673q-mjm6-r5xr), otra en la API de optimización de imágenes con SVG en Linux con glibc (CVE-2026-96889) y una denegación de servicio en las Server Actions (GHSA-p3m5-59mp-jv5r).

    nextjs.org

  2. Identificado · 8 oct 2026

    Next.js anuncia una actualización de seguridad fuera de ciclo para el 14 de octubre, con dos problemas críticos y uno de gravedad alta en dependencias externas.

    nextjs.org

Fuentes