Vercel publicó una actualización de seguridad fuera de banda para Next.js que mitiga dos vulnerabilidades críticas de ejecución remota de código (RCE), ambas con una severidad CVSS de 9.5, además de un fallo de denegación de servicio (DoS) clasificado como de severidad alta. Las versiones corregidas corresponden a las ramas activas y de soporte extendido: Next.js 16.4.1 y Next.js 15.5.28. Los fallos comprometen implementaciones que utilicen arquitecturas modernas del framework en entornos de producción.

Vectores de ataque: RCE en caché y procesamiento de SVG

La primera vulnerabilidad crítica, registrada como GHSA-673q-mjm6-r5xr, radica en la integración de React Server Components dentro de las aplicaciones que emplean App Router y tienen habilitada la característica de Cache Components. El problema se desencadena cuando una función que utiliza la directiva use cache devuelve múltiples vectores tipados (typed arrays) junto con datos controlados por un atacante no autenticado, permitiendo la ejecución de comandos en el servidor. Este fallo afecta a las versiones de Next.js desde la 16.0.0 hasta la 16.4.0.

El segundo fallo crítico corresponde a CVE-2026-96889 (GHSA-2464-fhr4-w9xw), una vulnerabilidad de corrupción de memoria en la biblioteca subyacente librsvg, empleada a través del paquete sharp para procesar archivos SVG. Dicha falla impacta a prácticamente todas las versiones de Next.js (desde la 10.0.0 hasta la 15.5.27 y de la 16.0.0 a la 16.4.0) cuando se ejecutan sobre sistemas Linux basados en glibc y se habilita la optimización de SVG (mediante dangerouslyAllowSVG) o se utiliza la función next/og para generación de imágenes previas en el entorno de Node.js.

Por último, se documentó la vulnerabilidad GHSA-p3m5-59mp-jv5r, que permite provocar una denegación de servicio en aplicaciones con App Router que definan al menos una Server Action. Mediante peticiones especialmente manipuladas, un atacante remoto puede saturar el uso de CPU de los procesos del servidor, deteniendo la atención de solicitudes legítimas.

Impacto para organizaciones en México y Latinoamérica

Next.js se ha consolidado ampliamente en el ecosistema tecnológico regional como la base para portales transaccionales, plataformas de comercio electrónico y aplicaciones web de servicios financieros y retail. Dado que muchas implementaciones locales se hospedan en servidores Linux tradicionales o contenedores basados en distribuciones estándar (como Debian o Ubuntu, que utilizan glibc), la exposición ante el procesamiento de imágenes y Server Actions es directa. Además, debido a que dos de los avisos carecían de asignación CVE inmediata al momento del reporte, los análisis automatizados con herramientas como npm audit podrían no alertar a los equipos de desarrollo sobre el riesgo real en sus dependencias.

Acciones de mitigación recomendadas

Para neutralizar estas vulnerabilidades, los equipos técnicos y de seguridad deben aplicar los siguientes pasos de forma inmediata:

• Actualizar Next.js: Migrar a la versión 16.4.1 si se encuentra en la rama 16.x, o a la versión 15.5.28 para sistemas en la rama 15.x, seguido de una reconstrucción y redespliegue de los entornos.
• Verificar la versión de sharp: En instalaciones que actualicen a Next.js 15.5.28, el gestor de paquetes puede mantener la versión previa de sharp (0.34.x). Es indispensable ejecutar npm ls sharp y asegurarse de que se utilice la versión 0.35.5 o superior.
• Medida temporal para SVG: Si no es viable actualizar el framework inmediatamente, se debe actualizar la dependencia sharp a la versión 0.35.5 o posterior, o bloquear el procesamiento de vectores mediante la directiva sharp.block({ operation: ["VipsForeignLoadSvg"] }) en el código de la aplicación.
• Sin mitigaciones manuales para RCE en caché y DoS: Las vulnerabilidades GHSA-673q-mjm6-r5xr y GHSA-p3m5-59mp-jv5r no cuentan con mecanismos de evasión parciales; la única solución efectiva es la actualización de Next.js.

Fuentes

1. Múltiples vulnerabilidades en Next.js de Vercel
2. Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing