Next.js corrige siete vulnerabilidades: si tu web usa Next.js, actualiza a 16.4.5 o 15.5.29

El 3 de noviembre de 2026 Next.js publicó las versiones 16.4.5 (Active LTS) y 15.5.29 (Maintenance LTS), que corrigen siete vulnerabilidades, todas de severidad media según sus avisos de seguridad en GitHub. Afectan a datos en caché que se cruzan entre usuarios, a cookies HttpOnly expuestas, al envenenamiento de caché y a respuestas inyectadas entre clientes, según el changelog de Netlify del mismo día. Si tu web está hecha con Next.js, toca actualizar y volver a desplegar.

«Updates are now available in v16.4.5 (Active LTS) and v15.5.29 (Maintenance LTS) to address these issues. Please patch your Next.js dependencies to maintain the security of your applications.» (ya hay actualizaciones disponibles en la v16.4.5 y la v15.5.29 que resuelven estos problemas; actualiza tus dependencias de Next.js para mantener la seguridad de tus aplicaciones), dice el blog de Next.js del 3 de noviembre de 2026. Es la tanda de seguridad que Next.js había anunciado el 27 de octubre de 2026.

¿Qué corrigen Next.js 16.4.5 y 15.5.29?

Corrigen siete fallos de severidad media, ninguno de ejecución remota de código, según los avisos de Next.js en GitHub del 3 de noviembre de 2026:

• Cuatro fallos en la caché de use cache y Cache Components, solo en la rama 16: contenido de un usuario, un cliente o un idioma que se sirve a otro, o una página 404 guardada en caché para toda una familia de rutas.
• Cookies HttpOnly legibles por JavaScript en rutas Edge, tanto con App Router como con Pages Router.
• Inyección de respuestas entre clientes en webs autoalojadas que reenvían un fetch sin tocar, detrás de un proxy HTTP/1.1 con pipelining.
• Salto del bloqueo de SVG en la optimización de imágenes, cuando images.dangerouslyAllowSVG está en false.

La rama 15 recibe tres de las siete correcciones en 15.5.29 (las cookies, la inyección de respuestas y el SVG); la rama 16, las siete en 16.4.5, según las notas de versión de Next.js en GitHub del 3 de noviembre de 2026.

¿Es tan grave como la actualización de octubre?

No: la del 3 de noviembre de 2026 son siete fallos de severidad media, y casi todos exigen funciones concretas (Cache Components, argumentos binarios en use cache, rutas Edge que ponen cookies sensibles). La del 14 de octubre de 2026 corrigió dos fallos críticos de ejecución remota de código en la 16.4.1, y la 16.4.5 incluye aquellos arreglos. Una web corporativa sin esas funciones tiene poco expuesto, pero conviene aplicar el parche en el siguiente despliegue, no en un mes.

¿Qué tienes que hacer según dónde esté alojada tu web?

Actualizar next a 16.4.5 (o a 15.5.29 si sigues en la rama 15) y volver a desplegar; en Netlify, además, revisar el adaptador. En orden:

1. Mira la versión. Quien mantenga la web puede correr npm ls next en el proyecto o revisar el package.json.
2. Actualiza y guarda el lockfile. Sube next a 16.4.5 o a 15.5.29 y haz commit del archivo de dependencias bloqueadas.
3. En Vercel, vuelve a desplegar: con eso basta.
4. En Netlify, al volver a desplegar se instala solo el adaptador @netlify/plugin-nextjs 5.16.6, que hace falta para el caso del Middleware; si su versión está fijada a mano en package.json o en netlify.toml, súbela tú. «Upgrading Next.js alone does not fix the Middleware case on Netlify» (actualizar solo Next.js no arregla el caso del Middleware en Netlify), avisa el changelog de Netlify del 3 de noviembre de 2026. Según Netlify, tres de las siete vulnerabilidades no afectan a su plataforma. Un despliegue de producción no purga la caché de los branch deploys ni de los deploy previews: púrgala o bórralos.
5. En servidor propio (VPS, Docker o next start), actualiza y reinicia. Ahí pueden aplicar las siete, según los avisos de Next.js del 3 de noviembre de 2026; si hoy no puedes actualizar y usas Cache Components, partialPrefetching: true mitiga el fallo del 404 en caché.

¿Qué datos conviene guardar?

Estas son las cifras y fechas que confirman Next.js y Netlify a 3 de noviembre de 2026:

• 3 de noviembre de 2026: Next.js publica siete avisos de seguridad, todos de severidad media, corregidos en las versiones 16.4.5 y 15.5.29. Fuente: avisos de seguridad de Next.js en GitHub y changelog de Netlify; el primero es el proyecto sobre su propio software y el segundo, una plataforma que aloja webs en Next.js.
• 15.5.29 y 16.4.5: la rama 15 recibe tres de las siete correcciones en 15.5.29; la rama 16, las siete en 16.4.5. Fuente: avisos de seguridad de Next.js en GitHub, 3 de noviembre de 2026.
• @netlify/plugin-nextjs 5.16.6: en Netlify, uno de los casos (Middleware) exige además el adaptador 5.16.6; se instala solo al volver a desplegar, salvo que la versión esté fijada. Fuente: changelog de Netlify, 3 de noviembre de 2026, Netlify sobre su propia plataforma.

¿Por qué conviene tener una rutina de actualización?

Porque es la segunda tanda de seguridad de Next.js en tres semanas: el 14 de octubre de 2026 salió la 16.4.1, con dos fallos críticos, y el 3 de noviembre de 2026 la 16.4.5, con siete de severidad media. Quien mantenga webs en Next.js necesita revisar versiones y desplegar con calendario fijo, no reaccionar a cada aviso. Las webs hechas en otros frameworks, como Astro o WordPress, no se ven afectadas por estas siete.

En Rigol&Co podemos revisar contigo en qué versión de Next.js está tu web y actualizarla y volver a desplegarla.