Saltar para o conteúdoistheinternetok
Todos os incidentes

Falha de segurança·Crítica

Next.js: duas falhas críticas de execução remota de código

Correção disponívelAfeta quem tem um site
Next.js, sharp

O que muda para si

Nada visível para si; os donos de sites têm de atualizar.

O Next.js, uma framework muito popular para criar sites, corrigiu duas falhas críticas que podiam permitir a um atacante tomar conta de um servidor, e ainda uma que pode deixar sites sem resposta. Os visitantes não têm de fazer nada; os donos de sites com Next.js devem atualizar.

Início: 14 de out. de 2026Atualizado: 14 de out. de 2026

Publicar no X

O que devo fazer?

Você
Não é preciso fazer nada.
Se gere um site ou uma app
Atualize o next para a 16.4.1 (16.x) ou a 15.5.28 (15.x) e volte a publicar. A falha do use cache não tem solução alternativa. Se não puder atualizar de imediato, confirme que a versão do sharp usada pelo Next.js é a 0.35.5 ou posterior.

O que é afetado

CVE-2026-96889

Cronologia

  1. Correção disponível · 14 de out. de 2026

    Saem o Next.js 16.4.1 e o 15.5.28: corrigem uma execução remota de código sem autenticação em funções use cache que devolvem arrays tipados (GHSA-673q-mjm6-r5xr), uma na API de otimização de imagens com SVG em Linux glibc (CVE-2026-96889) e uma negação de serviço nas Server Actions (GHSA-p3m5-59mp-jv5r).

    nextjs.org

  2. Identificado · 8 de out. de 2026

    O Next.js anuncia uma atualização de segurança fora de ciclo para 14 de outubro, que abrange dois problemas críticos e um de gravidade alta em dependências de origem.

    nextjs.org

Fontes