Next.js: parches de octubre de 2026 y qué versión instalar

# Next.js: parches de seguridad de octubre 2026 — qué versión instalar ahora

Respuesta directa: El 14 de octubre de 2026 Next.js publicó parches para dos vulnerabilidades críticas de ejecución remota de código (CVSS 9.5) y una de denegación de servicio. Las versiones que corrigen estos tres avisos son 16.4.1 o superior (en la línea 16) y 15.5.28 (en la línea 15). La versión estable más reciente de la línea 16 es 16.4.3.

Qué se corrigió

Tres problemas en el release del 14 de octubre:

• RCE en use cache (funciones que devuelven typed arrays). Afecta Next.js 16.0.0 a 16.4.0. Corregido en 16.4.1. No tiene CVE público.
• RCE en Image Optimization API con SVG (CVE-2026-96889). Afecta 10.0.0–15.5.27 y 16.x hasta 16.4.0 en Linux glibc cuando se usan SVG. Corregido en 15.5.28 y 16.4.1.
• DoS en Server Actions (GHSA-p3m5-59mp-jv5r). Afecta aplicaciones App Router con al menos una Server Action en 13.0.0–15.5.27 y 16.0.0–16.4.0. Severidad alta, CVSS 8.2. El aviso consultado no asigna un identificador CVE. Corregido en 15.5.28 y 16.4.1.

Actualiza Next.js a una versión corregida. Los avisos de use cache y Server Actions no ofrecen workaround. Para el fallo SVG, el aviso oficial sí indica asegurar sharp 0.35.5 o superior; actualizar Next.js a las versiones parcheadas fuerza una dependencia corregida. No apliques esa mitigación como si resolviera los otros dos fallos.

Qué versión usar ahora

La release 16.4.3, publicada el 23 de octubre, incorpora backports de correcciones. Los mínimos indicados describen estos avisos concretos; no son una garantía de ausencia de cualquier vulnerabilidad futura.

Qué revisar en tu proyecto

1. Comprueba la versión instalada (next --version o package.json).
2. Si estás en 16.0.0–16.4.0 o en 15.x por debajo de 15.5.28, actualiza.
3. Si usas Image Optimization con archivos SVG en Linux, prioriza el parche.
4. Si usas use cache que devuelve typed arrays en la línea 16, el parche de 16.4.1 es necesario.
5. Tras actualizar, verifica que el build y las rutas de imagen sigan funcionando.

Preguntas frecuentes

¿Cuál es la versión segura de Next.js ahora? 16.4.1 o superior en la línea 16 (16.4.3 es la más reciente). 15.5.28 en la línea 15.

¿Las versiones 14 o anteriores están parcheadas? No para estas vulnerabilidades. Si sigues en 14.x o inferior, el camino es migrar.

¿Hay exploit público? Este artículo no valida un exploit. La severidad y las condiciones publicadas en los avisos oficiales justifican priorizar la actualización sin esperar a una explotación confirmada.

¿Afecta a proyectos estáticos exportados? Una exportación estática pura sin servidor Next.js, optimizador de imágenes ni Server Actions no expone esas rutas de ejecución en producción. Revisa igualmente las dependencias y el entorno de compilación. La versión por sí sola no describe toda la superficie expuesta.

Fuentes y revisión editorial

• Next.js: RCE en use cache, GHSA-673q-mjm6-r5xr.
• Next.js: RCE con SVG en Image Optimization, GHSA-2464-fhr4-w9xw.
• Next.js: DoS en Server Actions, GHSA-p3m5-59mp-jv5r.
• Release 16.4.3 y release 15.5.28.

Revisión: 26 de octubre de 2026. Condiciones, mínimos y mitigaciones contrastados con avisos de los mantenedores. Para el contexto funcional, consulta Next.js 16.4 y Cache Components.