Next.js · Divulgada

Next.js corrige duas RCE críticas sem autenticação; atualize já

13 de out. de 2026 · 1 min de leitura

A Vercel liberou em 14 de outubro de 2026 o Next.js 15.5.28 e 16.4.1, com correções para duas falhas críticas de execução remota de código sem autenticação: uma na API de otimização de imagens com arquivos SVG (CVE-2026-96889, origem em biblioteca upstream usada pelo sharp) e outra em funções use cache que retornam múltiplos typed arrays. A saída é atualizar: sharp 0.35.5 ou posterior mitiga a falha de imagens; para use cache a Vercel afirma não haver workaround. As fontes não relatam exploração ativa.

Por Redação HIFY Radar Atualizado 26/10/2026 13:29 Receba isso todo dia →← Voltar ao feed 5 fontes

CríticaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A Vercel publicou em 14 de outubro de 2026 uma atualização de segurança fora de banda para o Next.js, adiada do ciclo de setembro por atraso de dependência upstream. Corrige duas falhas críticas de execução remota de código sem autenticação: na otimização de imagens que processa SVG e em funções de cache do App Router que retornam múltiplos typed arrays. Também corrige uma falha de negação de serviço em Server Actions.

Por que importa

Um atacante remoto, sem login, pode executar código no servidor da aplicação, com impacto alto em confidencialidade, integridade e disponibilidade; a falha de imagens tem nota CVSS 9,5. Afeta qualquer empresa com aplicação Next.js em Linux com glibc, linha 10 à 16.4.0, exposta na internet. Para a falha de use cache a Vercel afirma que não há solução alternativa conhecida.

O que fazer

Atualize imediatamente para next 16.4.1 ou next 15.5.28 (npm install next@16.4.1 ou next@15.5.28) e garanta sharp 0.35.5 ou posterior. Inventarie todas as aplicações Next.js, incluindo as que usam App Router com Server Actions. Priorize servidores em Linux com glibc que otimizam imagens SVG.

Para o time técnico

CVE: CVE-2026-96889
Afetados: Next.js (pacote next no npm); sharp / librsvg · next >= 10.0.0 e <= 15.5.27; next >= 16.0.0 e <= 16.4.0; sharp < 0.35.5 (embutia librsvg vulnerável; sharp 0.35.5 traz librsvg 2.63.2, segundo o banco de advisories do GitHub). Condições: Linux com glibc e otimização de imagens com SVG para a falha 1; App Router com Cache Components para a falha 2; App Router com ao menos uma Server Action para a falha 3.
Exploração: Fontes não relatam exploração ativa, PoC pública nem entrada no KEV; apenas advisories publicados e revisados (CVSS v4 9,5 para a falha de imagens).
Correção: next 15.5.28 e next 16.4.1; sharp 0.35.5 ou posterior (workaround para a falha de imagens: garantir sharp >= 0.35.5 mesmo sem atualizar o Next.js; instalações novas já recebem sharp corrigido). Comandos: npm install next@15.5.28 (linha 15) ou npm install next@16.4.1 (linha 16). Para use cache não há workaround: atualizar o Next.js.
Vetor: Três falhas corrigidas no mesmo update. 1) API de otimização de imagens do Next.js quando arquivos SVG são usados: falha de memória em biblioteca upstream (librsvg, dependência do sharp) pode levar a RCE quando o Next.js roda em Linux com glibc; sem autenticação, vetor rede, complexidade baixa, sem interação do usuário, CVSS v4 9,5 (CVE-2026-96889, GHSA-2464-fhr4-w9xw). 2) RCE sem autenticação em aplicações com App Router e Cache Components quando função use cache retorna múltiplos typed arrays (GHSA-673q-mjm6-r5xr); sem workaround conhecido. 3) DoS (alta) por requisições forjadas contra App Router com ao menos uma Server Action; consumo excessivo de CPU bloqueia o processo; Pages Router ou apps sem Server Actions não são afetados (GHSA-p3m5-59mp-jv5r).
Mais detalhes: Advisories: GHSA-2464-fhr4-w9xw (imagens SVG, CVE-2026-96889), GHSA-673q-mjm6-r5xr (use cache), GHSA-p3m5-59mp-jv5r (DoS); upstream React: GHSA-xqc2-xf4c-x3h3 e GHSA-h3gv-c5rc-p453; sharp: GHSA-wq5f-xc86-pv6w. CWE-1395 (dependência de componente de terceiro vulnerável) no registro do GitHub. Descoberta por randomguy6407 e rafabd1; advisory publicado por eps1lon em 14/10/2026; correções adiadas do release de setembro por atraso de dependência upstream; banco de advisories do GitHub revisado em 22/10/2026. Commits de correção citados: vercel/next.js 5e3b687 e 9571ec8.