Next.js: patch fuori ciclo per due RCE critiche (CVSS 9.5)

Vercel ha pubblicato aggiornamenti di sicurezza fuori dal normale ciclo di rilascio per Next.js, il framework React usato da moltissime applicazioni web. Le correzioni chiudono due vulnerabilità critiche che permettono a un attaccante remoto non autenticato di eseguire codice sul server. La notizia è stata riportata da The Hacker News il 15 ottobre 2026 e ripresa negli avvisi di INCIBE-CERT (Spagna, 16 ottobre) e del SingCERT della Cyber Security Agency di Singapore (20 ottobre).

Secondo il SingCERT entrambe le falle hanno un punteggio CVSS v4.0 di 9.5 su 10. Nessuna delle tre fonti parla di sfruttamento attivo o di exploit pubblici, e non sono stati pubblicati indicatori di compromissione.

Le due vulnerabilità

GHSA-673q-mjm6-r5xr (Cache Components). Riguarda le applicazioni che usano l’App Router con Cache Components, quando una funzione con la direttiva use cache restituisce più typed array. In questa condizione, secondo il SingCERT, un attaccante remoto senza credenziali può arrivare all’esecuzione di codice. Alla data dell’avviso del SingCERT (20 ottobre) non era ancora stato assegnato un CVE: per ora la vulnerabilità si identifica con il codice dell’avviso GitHub.

CVE-2026-96889 (ottimizzazione delle immagini). È un difetto di gestione della memoria in una libreria esterna (upstream) usata dalla funzione di ottimizzazione delle immagini di Next.js. Secondo il SingCERT è sfruttabile quando Next.js gira su Linux con glibc e porta anch’essa a esecuzione di codice da remoto senza autenticazione. Il titolo di The Hacker News collega questa falla all’elaborazione dei file SVG; le altre fonti disponibili parlano in generale di ottimizzazione delle immagini. Tra i riferimenti del SingCERT c’è anche l’avviso GitHub GHSA-2464-fhr4-w9xw.

Le fonti non indicano quale sia la libreria esterna né il dettaglio del difetto di memoria.

Versioni colpite e corrette

Ramo	Versioni colpite	Versione corretta
16.x	dalla 16.0.0 alla 16.4.0	16.4.1
10.x – 15.x	dalla 10.0.0 alla 15.5.27	15.5.28

INCIBE-CERT precisa che la falla di Cache Components riguarda solo il ramo 16 (dalla 16.0.0 alla 16.4.0), mentre quella dell’ottimizzazione delle immagini tocca sia le versioni dalla 10.0.0 alla 15.5.27 sia il ramo 16 fino alla 16.4.0. Il testo dell’avviso spagnolo che abbiamo potuto leggere è incompleto, quindi le condizioni esatte vanno verificate sugli avvisi ufficiali di Next.js.

Vettore d’attacco

In entrambi i casi l’attacco arriva da rete verso un’applicazione esposta, senza autenticazione e senza interazione dell’utente: nella classificazione MITRE ATT&CK è il caso tipico di T1190, Exploit Public-Facing Application. Una RCE su un server Next.js dà all’attaccante i privilegi del processo Node.js, e con questi l’accesso a variabili d’ambiente, chiavi API, credenziali dei database e servizi interni raggiungibili dal server.

L’ottimizzazione delle immagini è attiva di default in Next.js e si usa attraverso il componente next/image: per questo la seconda falla può riguardare molte applicazioni, anche se le fonti non dicono quante.

Perché conta per le aziende europee e italiane

Next.js è alla base di siti aziendali, negozi online, portali per clienti e fornitori, pannelli di gestione e prodotti SaaS. Spesso gira in container o su server gestiti da agenzie e fornitori esterni, che non sempre l’azienda conosce nel dettaglio. Il ramo 10–15 colpito copre diversi anni di versioni: anche applicazioni vecchie e poco curate possono essere vulnerabili.

Per i soggetti NIS2 il caso rientra nella gestione delle vulnerabilità e della catena di fornitura: conviene documentare quali applicazioni usano Next.js, chi le mantiene e quando sono state aggiornate. Un eventuale incidente significativo va valutato ai fini della notifica al CSIRT Italia dell’ACN. Nella sanità vanno controllati i portali per i pazienti, le prenotazioni online e le applicazioni web dei fornitori, che possono trattare dati sanitari.

Cosa fare subito

1. Trova le applicazioni Next.js: nei repository cerca la dipendenza next in package.json e controlla la versione effettiva con npm ls next (o con il gestore di pacchetti che usi). Chiedi conferma ad agenzie e fornitori per le applicazioni che non sviluppi tu.
2. Aggiorna alla 16.4.1 o alla 15.5.28, come raccomandano gli avvisi. Per le applicazioni ferme alle versioni dalla 10 alla 14, gli avvisi indicano come versione corretta la 15.5.28: pianifica il passaggio di versione principale e le relative prove.
3. Ricostruisci e ripubblica: aggiornare il file delle dipendenze non basta. Le immagini dei container e le build già distribuite contengono la versione vecchia finché non vengono rifatte.
4. Dai la priorità alle applicazioni esposte su Internet, a quelle che usano use cache con Cache Components e a quelle che girano su Linux con glibc.
5. Se non puoi aggiornare subito, le fonti non indicano soluzioni temporanee. Valuta di limitare l’accesso all’applicazione e controlla negli avvisi ufficiali di Next.js se esistono misure alternative, per esempio sull’ottimizzazione delle immagini. Non rimandare l’aggiornamento contando sul tipo di sistema: la condizione glibc riguarda solo una delle due falle.
6. Controlla i segnali di compromissione: richieste anomale verso l’endpoint di ottimizzazione delle immagini (/_next/image), processi figli inattesi avviati dal processo Node.js, connessioni in uscita insolite dal server dell’applicazione. Se trovi tracce sospette, cambia le chiavi e le credenziali raggiungibili dall’applicazione.

Come aiuta ARXDOME

L’inventario di ARX Sentry elenca software, processi e porte dei server con l’agent: aiuta a capire dove girano applicazioni Node.js da verificare. ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto, ARX Expose i servizi pubblici della tua azienda e i prodotti riconosciuti: insieme aiutano a decidere da quali applicazioni partire.

Ultimo aggiornamento: 20 ottobre 2026