Next.js: parche fuera de ciclo para dos RCE críticas (CVSS 9.5)

Vercel ha publicado actualizaciones de seguridad fuera de su ciclo normal de versiones para Next.js, el framework de React que usan muchísimas aplicaciones web. Las correcciones cierran dos vulnerabilidades críticas que permiten a un atacante remoto no autenticado ejecutar código en el servidor. La noticia la publicó The Hacker News el 15 de octubre de 2026 y la recogieron los avisos de INCIBE-CERT (España, 16 de octubre) y del SingCERT de la Cyber Security Agency de Singapur (20 de octubre).

Según el SingCERT, ambos fallos tienen una puntuación CVSS v4.0 de 9.5 sobre 10. Ninguna de las tres fuentes habla de explotación activa ni de exploits públicos, y no se han publicado indicadores de compromiso.

Las dos vulnerabilidades

GHSA-673q-mjm6-r5xr (Cache Components). Afecta a las aplicaciones que usan el App Router con Cache Components, cuando una función con la directiva use cache devuelve varios typed arrays. En esta condición, según el SingCERT, un atacante remoto sin credenciales puede llegar a ejecutar código. En la fecha del aviso del SingCERT (20 de octubre) todavía no se había asignado un CVE: por ahora la vulnerabilidad se identifica con el código del aviso de GitHub.

CVE-2026-96889 (optimización de imágenes). Es un fallo de gestión de memoria en una biblioteca externa (upstream) que usa la función de optimización de imágenes de Next.js. Según el SingCERT, se puede explotar cuando Next.js se ejecuta en Linux con glibc y también permite la ejecución remota de código sin autenticación. El titular de The Hacker News relaciona este fallo con el procesamiento de archivos SVG; las demás fuentes disponibles hablan en general de la optimización de imágenes. Entre las referencias del SingCERT figura también el aviso de GitHub GHSA-2464-fhr4-w9xw.

Las fuentes no indican cuál es la biblioteca externa ni el detalle del fallo de memoria.

Versiones afectadas y corregidas

Rama	Versiones afectadas	Versión corregida
16.x	de la 16.0.0 a la 16.4.0	16.4.1
10.x – 15.x	de la 10.0.0 a la 15.5.27	15.5.28

INCIBE-CERT precisa que el fallo de Cache Components afecta solo a la rama 16 (de la 16.0.0 a la 16.4.0), mientras que el de la optimización de imágenes afecta tanto a las versiones de la 10.0.0 a la 15.5.27 como a la rama 16 hasta la 16.4.0. El texto del aviso español que hemos podido leer está incompleto, así que las condiciones exactas deben comprobarse en los avisos oficiales de Next.js.

Vector de ataque

En ambos casos el ataque llega por la red contra una aplicación expuesta, sin autenticación y sin interacción del usuario: en la clasificación MITRE ATT&CK es el caso típico de T1190, Exploit Public-Facing Application. Una RCE en un servidor Next.js da al atacante los privilegios del proceso Node.js y, con ellos, acceso a variables de entorno, claves de API, credenciales de bases de datos y servicios internos accesibles desde el servidor.

La optimización de imágenes está activada por defecto en Next.js y se usa a través del componente next/image: por eso el segundo fallo puede afectar a muchas aplicaciones, aunque las fuentes no dicen cuántas.

Por qué importa a las empresas europeas e italianas

Next.js está detrás de webs corporativas, tiendas online, portales para clientes y proveedores, paneles de gestión y productos SaaS. A menudo se ejecuta en contenedores o en servidores gestionados por agencias y proveedores externos, que la empresa no siempre conoce en detalle. El rango 10–15 afectado abarca varios años de versiones: incluso aplicaciones antiguas y poco mantenidas pueden ser vulnerables.

Para las entidades sujetas a NIS2, el caso entra en la gestión de vulnerabilidades y de la cadena de suministro: conviene documentar qué aplicaciones usan Next.js, quién las mantiene y cuándo se actualizaron. Cualquier incidente significativo debe valorarse a efectos de la notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN). En el sector sanitario hay que revisar los portales para pacientes, las citas online y las aplicaciones web de los proveedores, que pueden tratar datos de salud.

Qué hacer ya

1. Localiza tus aplicaciones Next.js: en los repositorios busca la dependencia next en package.json y comprueba la versión real con npm ls next (o con el gestor de paquetes que uses). Pide confirmación a agencias y proveedores para las aplicaciones que no desarrollas tú.
2. Actualiza a la 16.4.1 o a la 15.5.28, como recomiendan los avisos. Para las aplicaciones que siguen en las versiones de la 10 a la 14, los avisos indican como versión corregida la 15.5.28: planifica el cambio de versión principal y las pruebas correspondientes.
3. Recompila y vuelve a desplegar: actualizar el archivo de dependencias no basta. Las imágenes de contenedor y las compilaciones ya desplegadas contienen la versión antigua hasta que se rehacen.
4. Da prioridad a las aplicaciones expuestas a Internet, a las que usan use cache con Cache Components y a las que se ejecutan en Linux con glibc.
5. Si no puedes actualizar enseguida, las fuentes no indican soluciones temporales. Valora limitar el acceso a la aplicación y consulta en los avisos oficiales de Next.js si existen medidas alternativas, por ejemplo sobre la optimización de imágenes. No retrases la actualización confiando en el tipo de sistema: la condición de glibc afecta solo a uno de los dos fallos.
6. Busca señales de compromiso: peticiones anómalas al endpoint de optimización de imágenes (/_next/image), procesos hijo inesperados lanzados por el proceso Node.js, conexiones salientes inusuales desde el servidor de la aplicación. Si encuentras rastros sospechosos, cambia las claves y credenciales accesibles desde la aplicación.

Cómo ayuda ARXDOME

El inventario de ARX Sentry enumera software, procesos y puertos de los servidores con el agente: te ayuda a ver dónde se ejecutan aplicaciones Node.js que hay que revisar. ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete, y ARX Expose los servicios públicos de tu empresa y los productos reconocidos: juntos te ayudan a decidir por qué aplicaciones empezar.

Última actualización: 20 de octubre de 2026