Aller au contenuistheinternetok
Tous les incidents

Faille de sécurité·Critique

Next.js : deux failles critiques d'exécution de code à distance

Correctif dispoConcerne les propriétaires de sites
Next.js, sharp

Ce que ça change pour vous

Rien de visible pour vous ; les propriétaires de sites doivent mettre à jour.

Next.js, un framework très répandu pour créer des sites web, a corrigé deux failles critiques qui pouvaient permettre à un attaquant de prendre le contrôle d'un serveur, ainsi qu'une autre pouvant bloquer des sites. Les visiteurs n'ont rien à faire ; les propriétaires de sites sous Next.js doivent mettre à jour.

Début : 14 oct. 2026Mis à jour : 14 oct. 2026

Poster sur X

Que faire ?

Vous
Rien à faire.
Si vous gérez un site ou une appli
Passez next à la version 16.4.1 (16.x) ou 15.5.28 (15.x) et redéployez. La faille de use cache n'a pas de contournement. Si vous ne pouvez pas mettre à jour tout de suite, assurez-vous que la version de sharp utilisée par Next.js est 0.35.5 ou ultérieure.

Ce qui est touché

CVE-2026-96889

Chronologie

  1. Correctif dispo · 14 oct. 2026

    Sortie de Next.js 16.4.1 et 15.5.28 : elles corrigent une exécution de code à distance sans authentification dans les fonctions use cache qui renvoient des tableaux typés (GHSA-673q-mjm6-r5xr), une exécution de code à distance dans l'API d'optimisation d'images avec SVG sous Linux glibc (CVE-2026-96889) et un déni de service dans les Server Actions (GHSA-p3m5-59mp-jv5r).

    nextjs.org

  2. Identifié · 8 oct. 2026

    Next.js annonce une mise à jour de sécurité hors cycle pour le 14 octobre, couvrant deux problèmes critiques et un de gravité élevée dans des dépendances amont.

    nextjs.org

Sources