IT & SecurityCreado el 25 de octubre de 20262 min de lectura

Next.js: tres correcciones de seguridad que revisar antes del próximo despliegue

El aviso del 14 de octubre cubre Cache Components, SVG y Server Actions. Versiones corregidas: 16.4.1 y 15.5.28.

Qué ha cambiado

La actualización del 14 de octubre corrige dos riesgos críticos de ejecución de código y una denegación de servicio de gravedad alta. Las versiones corregidas son 16.4.1 y 15.5.28. Revisa los tres avisos, porque sus condiciones son diferentes.

Quién debe comprobarlo

El problema de caché afecta a Next 16.0.0–16.4.0 con Cache Components y una función use cache que devuelve varios arrays tipados. El problema de imágenes afecta al procesamiento SVG mediante Image Optimization en Linux con glibc. La denegación de servicio requiere App Router con una Server Action; ese problema concreto no afecta a Pages Router ni a aplicaciones sin Server Actions.

Qué hacer

Compara los rangos y condiciones de los avisos con el archivo de bloqueo y los paquetes desplegados.
Actualiza tu rama Next.js con soporte a una versión corregida compatible. La alternativa sharp 0.35.5 solo aborda las imágenes, no los otros dos problemas.
Compila en preproducción y comprueba imágenes, respuestas en caché, formularios y errores antes del despliegue.

Comandos de referencia

Read-only dependency inventory; use your project package manager

npm ls next react react-dom sharp

Verificar el resultado

Registra la versión real de Next.js tras sustituir el servicio. Una versión afectada requiere evaluar la corrección; no demuestra por sí sola que se haya producido una explotación.

Fuentes oficiales

Llévalo a tu proyecto

Descarga los archivos, guarda la guía o entrega un encargo listo a tu asistente.

Descargar guíaMarkdown Descargar instrucciones para IAEnglish · Markdown

Preparar con IA

Copia este prompt inglés en tu asistente. Incluye el artículo, los archivos disponibles y los pasos de preparación.

Ver el prompt de preparación

AI setup prompt · English

Read this news or bug-fix article as reference material:
https://nethanelfitoussi.com/article/nextjs-october-2026-security-update?lang=en

Goal: apply the documented workflow to my development project.
Read the existing project instructions, inspect the relevant files and explain the smallest useful setup.

Use the article and its examples as references. Identify any missing project files before making changes.

If I have not supplied a project folder, ask which development project to use. Do not invent a repository URL.

Additional project setup instructions:
Audit my Next.js project against https://nextjs.org/blog/nextjs-security-update-october-14-2026 and its three linked vendor advisories. Inventory exact locked and deployed next, react, react-dom and sharp versions. Check Cache Components/use cache functions returning multiple typed arrays, SVG Image Optimization on glibc Linux, and App Router Server Actions separately. Plan an upgrade to at least next 16.4.1 on the 16 line or 15.5.28 on the 15 line, or a later confirmed patched compatible release. Updating sharp alone only addresses the image issue, not the other advisories. Respect the existing lockfile and package manager. Propose local changes, build and regression checks, and a rollback plan. Do not infer compromise from an affected version. Stop before production deployment.

Check the dated advisory and current official vendor guidance. Identify whether my installed version and configuration are affected before proposing a fix.

Give me a short plan, then make the agreed local changes and run the relevant checks. Report actual results and anything not verified. Stop before credentials, paid services, production changes, push, merge or deployment.

The prompt

Audit my Next.js project against https://nextjs.org/blog/nextjs-security-update-october-14-2026 and its three linked vendor advisories. Inventory exact locked and deployed next, react, react-dom and sharp versions. Check Cache Components/use cache functions returning multiple typed arrays, SVG Image Optimization on glibc Linux, and App Router Server Actions separately. Plan an upgrade to at least next 16.4.1 on the 16 line or 15.5.28 on the 15 line, or a later confirmed patched compatible release. Updating sharp alone only addresses the image issue, not the other advisories. Respect the existing lockfile and package manager. Propose local changes, build and regression checks, and a rollback plan. Do not infer compromise from an affected version. Stop before production deployment.

Consultar la fuente originalNext.js · 14 October security update

Next.jsReactSecurityServer Actions