--- title: "Next.js 16.4.1 y 15.5.28: dos fallos críticos, actualiza ya" description: "Next.js publicó el 14 de octubre de 2026 la 16.4.1 y la 15.5.28: corrigen dos fallos críticos de ejecución remota de código y uno alto. Toca actualizar ya." canonical: "https://rigolco.com/noticias/nextjs-16-4-1-dos-fallos-criticos-actualizar/" lang: "es" datePublished: "2026-10-15T00:00:00.000Z" dateModified: "2026-10-15T00:00:00.000Z" author: "Ton Rigol" --- URL: https://rigolco.com/noticias/nextjs-16-4-1-dos-fallos-criticos-actualizar/ # Next.js 16.4.1 y 15.5.28: dos fallos críticos de ejecución remota de código y por qué hay que actualizar aunque tu web no use «use cache» Next.js publicó el 14 de octubre de 2026 la 16.4.1 y la 15.5.28: corrigen dos fallos críticos de ejecución remota de código y uno alto. Toca actualizar ya. ![Ton Rigol](https://rigolco.com/assets-blog/autor-ton-96.webp) [Ton Rigol](https://rigolco.com/sobre/) 15 de octubre de 2026 · 5 min de lectura - 4 fuentes citadas El 14 de octubre de 2026 Next.js publicó las versiones 16.4.1 (Active LTS) y 15.5.28 (Maintenance LTS), que corrigen tres vulnerabilidades en dependencias upstream: dos críticas y una alta, según el [blog de Next.js](https://nextjs.org/blog/nextjs-security-update-october-14-2026), que es el propio fabricante. Las dos críticas permiten ejecutar código en el servidor sin autenticación: una en las funciones `use cache` de la rama 16 y otra en la optimización de imágenes con SVG en servidores Linux, desde la versión 10\. Si tu web está hecha con Next.js, actualizar es una tarea de hoy. «There is no known workaround for affected applications. You should upgrade immediately even if your application does not have similar functions.» (no hay una solución provisional conocida para las aplicaciones afectadas; debes actualizar de inmediato aunque tu aplicación no tenga funciones similares), dice el blog de Next.js del 14 de octubre de 2026 sobre el fallo de `use cache`. Es la actualización fuera de ciclo que Next.js había [anunciado el 8 de octubre de 2026](https://nextjs.org/blog/upcoming-nextjs-security-update-october-2026). ## ¿Qué corrigen exactamente Next.js 16.4.1 y 15.5.28? Corrigen tres fallos, y solo uno de los tres tiene CVE, según el blog de Next.js y sus avisos en GitHub del 14 de octubre de 2026: - **Crítico, sin CVE (GHSA-673q-mjm6-r5xr)**: ejecución remota de código sin autenticación en funciones `use cache` que devuelven varios _typed arrays_, en apps con App Router y Cache Components. Afecta de la 16.0.0 a la 16.4.0 y no tiene mitigación: solo se arregla actualizando. - **Crítico, CVE-2026-96889 (GHSA-2464-fhr4-w9xw)**: ejecución remota de código sin autenticación en la optimización de imágenes con SVG, cuando Next.js corre en Linux con glibc. Afecta de la 10.0.0 a la 15.5.27 y, en la rama 16, hasta la 16.4.0\. Mitigación si no puedes actualizar hoy: que Next.js use sharp 0.35.5 o posterior. - **Alto, sin CVE (GHSA-p3m5-59mp-jv5r)**: denegación de servicio por uso excesivo de CPU en apps con App Router y al menos una Server Action. Afecta de la 13.0.0 a la 15.5.27 y de la 16.0.0 a la 16.4.0; las apps con Pages Router o sin Server Actions no son vulnerables. Los avisos no publican puntuación CVSS. ## ¿Por qué hay que actualizar aunque tu web no use esas funciones? Porque lo pide el propio aviso de Next.js del 14 de octubre de 2026 para el fallo de `use cache`, que además no tiene mitigación. Los tres fallos dependen de condiciones distintas (Cache Components, Linux con glibc, Server Actions), pero el fabricante pide actualizar a todos. Las webs autoalojadas en Linux, en un VPS o en Docker, son las expuestas al fallo de imágenes: ahí la prioridad es máxima. En Netlify, la ruta de `next/image` no se usa, porque la sirve su Image CDN, pero `next/og` (`ImageResponse`) sí queda expuesta, con un impacto limitado a una invocación de función caída según Netlify, en su changelog del 14 de octubre de 2026\. Netlify avisa también de que los _deploy previews_ antiguos pueden seguir siendo vulnerables: hay que borrarlos o protegerlos. ## ¿Y si mi proyecto usa React Server Components sin Next.js? Entonces el arreglo está en los paquetes de React. React publicó el mismo 14 de octubre de 2026 los avisos de origen (GHSA-xqc2-xf4c-x3h3, crítico, y GHSA-h3gv-c5rc-p453, alto) para `react-server-dom-webpack`, `-parcel` y `-turbopack`, corregidos en 19.0.9, 19.1.10, 19.2.9 y 19.3.1, según sus [avisos de seguridad en GitHub](https://github.com/facebook/react/security/advisories/GHSA-xqc2-xf4c-x3h3). Según React, si el código React de tu app no usa un servidor, tu app no está afectada. ## ¿Qué datos conviene guardar? Estas son las cifras y fechas que confirman Next.js, React y Netlify a 14 de octubre de 2026: - **14 de octubre de 2026**: Next.js publica la 16.4.1 (Active LTS) y la 15.5.28 (Maintenance LTS), que corrigen tres vulnerabilidades en dependencias upstream, dos críticas y una alta. Fuente: [blog de Next.js](https://nextjs.org/blog/nextjs-security-update-october-14-2026), el propio fabricante. - **GHSA-673q-mjm6-r5xr, crítica, sin CVE**: ejecución remota de código sin autenticación en `use cache` que devuelve varios _typed arrays_ (App Router con Cache Components); de la 16.0.0 a la 16.4.0; sin mitigación. Fuente: [blog de Next.js](https://nextjs.org/blog/nextjs-security-update-october-14-2026). - **CVE-2026-96889 / GHSA-2464-fhr4-w9xw, crítica**: ejecución remota de código sin autenticación en la optimización de imágenes con SVG en Linux con glibc; de la 10.0.0 a la 15.5.27 y de la 16 a la 16.4.0; mitigación: sharp 0.35.5 o posterior. Fuente: [blog de Next.js](https://nextjs.org/blog/nextjs-security-update-october-14-2026). - **GHSA-p3m5-59mp-jv5r, alta, sin CVE**: denegación de servicio por CPU en App Router con al menos una Server Action; de la 13.0.0 a la 15.5.27 y de la 16.0.0 a la 16.4.0; Pages Router o apps sin Server Actions, no vulnerables. Fuente: [blog de Next.js](https://nextjs.org/blog/nextjs-security-update-october-14-2026). - **React 19.0.9, 19.1.10, 19.2.9 y 19.3.1**: versiones de `react-server-dom-webpack`, `-parcel` y `-turbopack` que corrigen los avisos de origen GHSA-xqc2-xf4c-x3h3 (crítico) y GHSA-h3gv-c5rc-p453 (alto), del 14 de octubre de 2026\. Fuente: [avisos de React en GitHub](https://github.com/facebook/react/security/advisories/GHSA-xqc2-xf4c-x3h3). - **Netlify**: `next/image` no usa la ruta afectada, pero `next/og` sí queda expuesto, con impacto limitado a una invocación de función caída según Netlify; los _deploy previews_ antiguos pueden seguir siendo vulnerables. Fuente: [changelog de Netlify del 14 de octubre de 2026](https://www.netlify.com/changelog/2026-10-14-nextjs-react-security-vulnerabilities/), la plataforma de hosting. ## ¿Qué versión te toca instalar? Depende de la rama en la que esté tu web. Para saberlo, quien la mantenga puede correr `npm ls next` en el proyecto o mirar el `package.json`: | Si tu web tiene… | Instala… | | ----------------------- | ---------------------------------------------------------------------------------------------------------------- | | Next.js 16.x | 16.4.1 | | Next.js 15.x | 15.5.28 | | Next.js 14.x o anterior | No hay parche en tu rama y el fallo de imágenes te afecta (el rango empieza en la 10.0.0): toca subir de versión | Después, vuelve a desplegar la web. La 15.5.28 es la versión Maintenance LTS, así que, si estás en la rama 15, conviene planear el salto a la 16\. Y si hoy no puedes actualizar, fuerza sharp 0.35.5 o posterior: cubre el fallo de imágenes, no el de `use cache`. Es la tercera actualización de seguridad de Next.js desde el 22 de septiembre de 2026: aquel día salió la 16.3.6, el 30 de septiembre la [16.3.8 y la 15.5.27](https://nextjs.org/blog/september-2026-security-release), y el 14 de octubre la 16.4.1 y la 15.5.28, que incluyen los arreglos anteriores. Si la web la lleva una agencia o un freelance, pídele la versión instalada y la fecha del último despliegue. En Rigol&Co podemos revisar contigo en qué versión de Next.js está tu web y [actualizarla y volver a desplegarla](https://rigolco.com/sitios-web/). ## Fuentes 1. [nextjs.org · Next.js Security Update for Upstream Vulnerabilities (14 de octubre de 2026)](https://nextjs.org/blog/nextjs-security-update-october-14-2026) · Next.js (Vercel), el propio fabricante, describiendo sus fallos 2. [GitHub · aviso de seguridad de React GHSA-xqc2-xf4c-x3h3](https://github.com/facebook/react/security/advisories/GHSA-xqc2-xf4c-x3h3) · React, el propio proyecto, describiendo su fallo 3. [Netlify · Security Update: Next.js and React vulnerabilities (October 2026)](https://www.netlify.com/changelog/2026-10-14-nextjs-react-security-vulnerabilities/) · Netlify, la plataforma de hosting, sobre el impacto en su propio servicio 4. [nextjs.org · Next.js September 2026 Security Release (30 de septiembre de 2026)](https://nextjs.org/blog/september-2026-security-release) El resto de noticias, en [Noticias](https://rigolco.com/noticias/). El porqué largo, con cifras y fuentes, en [Análisis](https://rigolco.com/analisis/). ![](https://rigolco.com/assets-blog/autor-ton-96.webp) [Ton Rigol](https://rigolco.com/sobre/) Fundador de Rigol&Co. Querétaro, México. ¿Te resultó útil? Añade **Rigol&Co** como fuente preferida y verás nuestras noticias más a menudo en tu Búsqueda de Google. [ Añadir como fuente preferida en Google ](https://google.com/preferences/source?q=rigolco.com) ## ¿Hablamos de tu proyecto? Cuéntanos qué necesitas y te decimos con honestidad qué tiene más sentido para tu negocio. [ Agenda una llamada ](https://cal.com/ton-rigol-rojano-okaosp/30min) ## Relacionadas [Ver todas las noticias](https://rigolco.com/noticias/) [ **Sitios web** · 13 octubre 2026 Core Web Vitals de las webs de una sola página: CrUX ya cuenta las soft navigations y Search Console las usará (objetivo: mayo de 2027) ](https://rigolco.com/noticias/core-web-vitals-soft-navigations-crux-search-console-2027/)[ **Sitios web** · 13 octubre 2026 PrestaShop 9.2 trae de serie el checkout en una sola página y un asistente de IA en el back office ](https://rigolco.com/noticias/prestashop-9-2-checkout-una-pagina-asistente-ia/)