Next.js corrige 9 vulnerabilidades: actualiza a 16.2.11 o 15.5.21

Next.js publicó su actualización de seguridad de julio de 2026 con correcciones para nueve vulnerabilidades: cuatro de severidad alta y cinco de severidad media. Si administras una aplicación Next.js en un VPS, servidor dedicado o infraestructura propia, debes actualizar a Next.js 16.2.11 o 15.5.21, según la rama que utilices.

Resumen: las fallas incluyen SSRF, evasión de Middleware/Proxy, denegación de servicio, confusión de caché y exposición de identificadores internos de Server Functions. Los parches están disponibles desde el 20–21 de julio de 2026.

Qué corrigió Next.js en julio de 2026

El aviso oficial de Next.js recomienda pasar a 16.2.11, la rama Active LTS, o a 15.5.21, la rama Maintenance LTS. No se anunciaron correcciones equivalentes para ramas menores antiguas: una aplicación en Next.js 13, 14 o en una versión anterior de 15.x debe migrar a una de las versiones corregidas compatibles.

La prioridad es especialmente alta para instalaciones autogestionadas, porque varias condiciones afectan a servidores personalizados, reescrituras dinámicas, Server Actions, Edge Runtime, Turbopack o el optimizador de imágenes integrado.

Las nueve vulnerabilidades y versiones afectadas

¿Existe explotación activa?

Al revisar los avisos oficiales el 24 de julio de 2026, Vercel y GitHub no indicaban explotación activa confirmada para estas nueve CVE, y no encontramos ninguna de ellas en el catálogo KEV de CISA. Eso no demuestra que no existan intentos privados: los detalles técnicos y los parches ya son públicos, por lo que conviene actualizar sin esperar señales de ataque.

Cómo actualizar Next.js de forma segura

1. Comprueba la versión instalada

Desde el directorio del proyecto ejecuta:

npm ls next
node -p "require('next/package.json').version"

2. Haz copia de seguridad y elige la rama corregida

Guarda el código, variables de entorno, archivos persistentes y base de datos. Si administras una máquina virtual, crea también un snapshot antes del despliegue. Después actualiza a la versión corregida de tu rama:

# Rama 16.x
npm install [email protected]

# Rama 15.5.x
npm install [email protected]

Con pnpm o Yarn utiliza el comando equivalente y conserva el archivo de bloqueo. No instales ambas versiones: elige la que corresponda a tu plan de compatibilidad.

3. Reconstruye y prueba antes de reiniciar producción

rm -rf .next
npm run build
npm test
npm ls next

Prueba las rutas protegidas por Middleware/Proxy, Server Actions, carga y optimización de imágenes, internacionalización, caché y cualquier rewrite hacia servicios externos. Después despliega el artefacto y reinicia el proceso administrado por systemd, PM2, Docker o tu orquestador.

4. Verifica el despliegue

• Confirma que producción reporta 16.2.11 o 15.5.21.
• Revisa errores 4xx/5xx, uso de CPU y memoria, latencia y reinicios.
• Comprueba que el archivo de bloqueo y la imagen de contenedor incluyen la versión corregida.
• Conserva el snapshot solo el tiempo necesario y documenta el cambio.

Mitigaciones temporales si no puedes actualizar hoy

Las mitigaciones reducen exposición, pero no sustituyen el parche:

• Rewrites y redirects: no construyas nombres de host externos con datos controlados por usuarios. Limita los destinos a una lista permitida.
• Servidor personalizado: fija y valida Host y X-Forwarded-Host en el proxy inverso. En versiones compatibles, configura __NEXT_PRIVATE_ORIGIN con un origen confiable.
• Edge Runtime: limita el cuerpo de la solicitud a 5 MiB en el proxy o plataforma.
• Optimización de imágenes: bloquea SVG remotos no confiables. El aviso de CVE-2026-64644 también documenta experimental.imgOptSkipMetadata: true como mitigación temporal.
• Server Actions y caché: valida autorización dentro de cada límite use server o use cache; no dependas de que el identificador interno sea secreto.
• Disponibilidad: aplica límites de velocidad, timeouts y alertas de CPU/memoria en el proxy y el proceso Node.js.

Recomendaciones para Next.js autogestionado en un VPS

Ejecuta la aplicación con un usuario sin privilegios, expón únicamente el proxy inverso, limita puertos con firewall y separa secretos del repositorio. Automatiza alertas de dependencias, registra la versión de cada despliegue y mantén una ruta de rollback probada.

Si estás planificando migrar una aplicación Node.js a una infraestructura con recursos dedicados, snapshots y control del sistema, revisa los VPS de Teramont Host. La actualización de la aplicación sigue siendo responsabilidad del administrador, pero una base operativa clara facilita respaldos, monitoreo y recuperación.

Preguntas frecuentes

¿Next.js 16.2.10 es seguro frente a estas fallas?

No. La versión corregida de la rama 16 es 16.2.11. También debes comprobar el archivo de bloqueo y la versión instalada en producción, no solo package.json.

¿Puedo permanecer en Next.js 15?

Sí, si migras a 15.5.21, la versión Maintenance LTS corregida para este conjunto de vulnerabilidades. Evalúa por separado futuras fechas de soporte.

¿Qué hago si utilizo Next.js 13 o 14?

Debes planificar la migración a 15.5.21 o 16.2.11. El aviso de julio no ofrece una versión corregida dentro de las ramas 13 o 14.

¿Actualizar Node.js corrige estas CVE?

No. Las vulnerabilidades están en el paquete next. Mantener Node.js actualizado también es importante, pero debes actualizar Next.js explícitamente y reconstruir la aplicación.

¿Una CDN o WAF elimina el riesgo?

No por completo. Puede reducir algunos vectores mediante límites y validación, pero no corrige la lógica vulnerable en el servidor. La solución principal es instalar una versión parcheada.

Conclusión

Next.js 16.2.11 y 15.5.21 corrigen nueve vulnerabilidades con impacto real en aplicaciones autogestionadas. Haz un inventario de tus despliegues y prioriza los que utilizan Server Actions, servidores personalizados, Turbopack, rewrites dinámicos u optimización de imágenes, y completa la actualización con pruebas, monitoreo y un rollback preparado.

Fuentes oficiales

• Next.js: July 2026 Security Release
• GitHub Advisory: CVE-2026-64645
• GitHub Advisory: CVE-2026-64649
• GitHub Advisory Database: avisos recientes del paquete next