Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing
2026-10-15
Vercel, la empresa desarrolladora de Next.js, publicó el 14 de octubre una actualización de seguridad fuera de los ciclos habituales para corregir dos fallos críticos. Estos errores permiten la ejecución remota de código (RCE) —un tipo de ataque donde el criminal puede ejecutar comandos en su servidor— sin necesidad de autenticación, además de un fallo de alta severidad que puede causar la caída del servicio (denegación de servicio).
Uno de los problemas graves se encuentra en los 'React Server Components' y el otro en la librería 'librsvg', la cual utiliza Next.js a través del paquete 'sharp' para procesar imágenes SVG. Los parches ya están disponibles en las versiones 16.4.1 y 15.5.28, que son las versiones de soporte a largo plazo (LTS) actuales.
El fallo relacionado con imágenes SVG (CVE-2026-96889) afecta a aplicaciones que corren en sistemas Linux basados en glibc y que procesan archivos SVG enviados por usuarios. Por su parte, el error en los 'Server Actions' puede permitir que un atacante sature el uso de la CPU, dejando el servidor incapaz de atender otras solicitudes.
Para solucionar esto, se recomienda actualizar a Next.js 16.4.1 si utiliza la versión 16, o a la 15.5.28 si utiliza la versión 15, y luego volver a construir y desplegar la aplicación. En la versión 15, es vital verificar que el paquete 'sharp' se haya actualizado a la versión 0.35.5 o superior mediante el comando 'npm ls sharp', ya que la actualización de Next.js por sí sola podría no cambiar la versión de este componente.
Qué significa para una pyme colombiana y cucuteña: Si su empresa tiene una página web o plataforma desarrollada con Next.js, debe pedirle a su programador o proveedor de sistemas que actualice la versión del software de inmediato. No basta con actualizar el sistema principal; debe verificar específicamente que la librería 'sharp' sea la versión 0.35.5 o superior, de lo contrario, el riesgo de que un atacante tome el control de su servidor sigue presente.