El equipo de Next.js, una de las herramientas más usadas para crear sitios web, tiendas en línea y sistemas web modernos, publicó el 14 de octubre una actualización de seguridad fuera de calendario. Corrige dos fallas críticas que permiten a un atacante ejecutar código en el servidor sin iniciar sesión y una tercera que puede dejar el sitio sin responder, según el blog oficial de Next.js, The Hacker News y Netlify.
Las tres fallas
| Falla | Gravedad | A quién afecta |
|---|---|---|
Ejecución de código en funciones use cache | Crítica (CVSS 9.5) | Sitios en Next.js 16 con Cache Components activado |
| Ejecución de código al procesar imágenes SVG | Crítica (CVSS 9.5) | Sitios que optimizan SVG o generan imágenes con next/og, en servidores Linux |
| Saturación del servidor con Server Actions | Alta | Sitios con App Router que usan Server Actions |
Fuentes: blog de Next.js y The Hacker News.
Según The Hacker News, la primera falla viene de React Server Components (React publicó su propio aviso) y la segunda de librsvg, la librería que procesa imágenes SVG a través del paquete sharp. Es la tercera vez desde agosto que el procesamiento de imágenes en Next.js provoca una falla de este tipo.
La solución
Actualizar a Next.js 16.4.1 (si usas la versión 16) o 15.5.28 (si usas la 15), y luego volver a compilar y publicar el sitio. The Hacker News advierte que en la versión 15 la actualización puede dejar instalada la versión vieja de sharp: hay que confirmar que quede en 0.35.5 o superior.
Ojo: dos de las tres fallas no tienen solución temporal; solo la actualización las cierra. Netlify publicó un aviso para sus clientes, pero si tu sitio está en un servidor propio, nadie lo va a actualizar por ti.
¿Qué significa para México?
Muchas agencias y desarrolladores en México usan Next.js para páginas de empresas, tiendas en línea y sistemas internos. Si tu negocio tiene un sitio así, una falla crítica sin parchar es una puerta abierta a robo de datos o a que lo usen para estafar a tus clientes.
- Pregunta a tu desarrollador o agencia con qué tecnología está hecho tu sitio.
- Si es Next.js, pide que lo actualicen a 16.4.1 o 15.5.28 y que confirmen la versión de sharp.
- Pide que vuelvan a publicar el sitio después de actualizar.
- Si nadie le da mantenimiento a tu página, es momento de contratar un plan de soporte.
¿Tu sitio web no tiene quien lo mantenga actualizado? En IOSoluciones lo revisamos por ti: Soporte Técnico, Planes o Contacto.
¿Necesitas ayuda para revisar o actualizar los equipos de tu negocio? En IOSoluciones te apoyamos con Soporte Técnico y Mantenimiento. Contáctanos.
Fuentes: Blog de Next.js (14/10/2026), The Hacker News (15/10/2026) y Netlify (14/10/2026), consultadas el 15/10/2026.