Tra il 25 agosto e il 30 settembre 2026 il team di Next.js ha pubblicato tre aggiornamenti di sicurezza che correggono dieci vulnerabilità: due il 25 agosto, una il 22 settembre, sette il 30 settembre. Tre erano critiche e permettevano di eseguire codice sul server da remoto, le due di agosto senza bisogno di autenticazione. Se il tuo sito o il tuo e-commerce è costruito con Next.js, la versione di next deve essere la 16.3.8 (linea 16.3) o la 15.5.27 (linea 15.5), e il sito va ripubblicato dopo l'aggiornamento. Due correzioni, una critica e una alta, sono state rimandate e non sono ancora uscite.
Cronologia degli aggiornamenti
- Il 25 agosto sono uscite la 16.3.3 e la 15.5.24, con la correzione di due falle critiche. La prima è nell'ottimizzazione delle immagini AVIF: un file manipolato da un attaccante può far eseguire codice, per un difetto di libheif, una libreria usata da
sharp. La seconda colpisce i server con file system Windows quando l'app usa insieme Pages Router e App Router senza Cache Components. Le due versioni spegnevano l'ottimizzazione AVIF, che la 16.3.4 ha riattivato il 31 agosto. - Il 22 settembre, fuori calendario, sono uscite la 16.3.6 e la 15.5.26 per una falla critica in
ImageResponsedinext/og, la funzione che genera immagini al volo. Riguarda l'implementazione Node.js, dalla 16.2.0 alla 16.3.5, e solo le app che inseriscono nell'immagine valori controllabili da un attaccante, per esempio un parametro dell'indirizzo. L'implementazione Edge non è toccata; la 15.x non è colpita e riceve solo un rinforzo. - Il 29 settembre è uscita la 16.3.7, con la correzione di un bug e nessuna patch di sicurezza. Il 30 settembre sono arrivate la 16.3.8 e la 15.5.27, con sette correzioni: una alta, cinque medie e una bassa.
- Il 6 ottobre è uscita Next.js 16.4: l'annuncio presenta funzioni e strumenti nuovi, non elenca avvisi di sicurezza e non cita le due correzioni rimandate.
Il rilascio del 30 settembre
| Problema | Gravità | Quando riguarda un sito |
|---|---|---|
| Richieste verso indirizzi interni dall'ottimizzatore di immagini (SSRF) | Alta | Domini esterni in images.remotePatterns |
| Pagine statiche con il contenuto di un'altra pagina | Media | Hosting proprio, Pages Router con SSG o ISR |
| Cache condivisa avvelenata da una sola richiesta | Media | Pagina catch-all alla radice con SSG o ISR |
Immagini dei metadati (opengraph-image) che ignorano dynamicParams | Media | App Router compilato con webpack |
| Cache annidata che serve il contenuto di un altro parametro radice | Media | Cache Components con use cache annidate |
| Contenuti non pubblicati mostrati ai visitatori | Media | Cache Components con anteprima delle bozze (Draft Mode) |
| Dati del progetto letti da un sito malevolo | Bassa | Solo server di sviluppo (next dev) |
La falla alta riguarda solo chi ha domini autorizzati in images.remotePatterns, e il rischio nasce da un dominio in elenco che un attaccante può controllare. Secondo Netlify, immagini, metadati, cache annidata, bozze e server di sviluppo toccano solo Next.js 16; le due falle di cache sulle pagine statiche toccano anche la 15. Netlify aggiunge che sui siti della sua piattaforma ne valgono quattro (metadati, cache annidata e le due di cache sulle pagine statiche) e tre no (immagini, bozze e server di sviluppo).
Cosa significa per il tuo sito
- Su un server Windows la falla di agosto è sfruttabile se l'app usa insieme Pages Router e App Router senza Cache Components, e non si conoscono soluzioni alternative: serve l'aggiornamento. Su Linux e macOS non si applica; per la falla AVIF gli avvisi non indicano condizioni sul sistema operativo.
- Vercel scrive che le app sulla sua piattaforma erano protette dalle due falle di agosto senza interventi. Per il team di Next.js la falla di cache del Pages Router non riguarda le app su Vercel. La nota di Vercel non copre la falla di settembre su
ImageResponse. - Su Netlify servono la versione corretta di
nexte, se l'hai fissato a mano, l'adattatore@netlify/plugin-nextjsalla 5.16.1. Netlify suggerisce di cancellare a mano le vecchie anteprime di deploy, che possono restare vulnerabili.
Per i server gestiti in proprio, Vercel indica per le falle di agosto la 15.5.24 a chi è su Next.js 15 o precedente e la 16.3.3 a chi è su 16: chi usa una versione più vecchia, come la 14, o una 16.x precedente alla 16.3 non trova una patch nella propria linea e deve cambiare linea. Per le falle di settembre servono la 16.3.8 o la 15.5.27. Secondo noi conviene restare sulla propria linea e prendere l'ultima patch: la 16.4 è un aggiornamento di versione da collaudare, e il team non dice se contenga tutte le correzioni di settembre.
Cosa chiedere a chi gestisce il sito
- Quale versione di
nextgira in produzione? Si legge inpackage.jsone nel file di lock. - Il sito è stato ripubblicato dopo l'aggiornamento? Il sito online cambia solo con una nuova pubblicazione.
- Dove gira il sito, e che cosa ha già applicato il fornitore dell'hosting?
- Usa
images.remotePatterns, con quali domini? Genera immagini conImageResponseda testi che arrivano dall'indirizzo o dai visitatori? - Chi segue gli avvisi di sicurezza? Gli ultimi due rilasci programmati sono stati annunciati sul blog di Next.js circa una settimana prima.
Cosa guardiamo su un sito Next.js
Il nostro sito è costruito con Next.js. Nel nostro servizio di siti web ed e-commerce la manutenzione continua dopo la consegna, e un avviso come questi riguarda proprio quella fase. Un catalogo con le immagini su un altro dominio, per esempio, rientra nel caso della falla alta.
Se ci chiedi un controllo, partiamo da quattro punti: la versione di next nel file di lock, confrontata con quelle di questo articolo; l'hosting e ciò che il fornitore ha già applicato; le funzioni toccate dagli avvisi (domini esterni per le immagini, immagini generate da testi dell'indirizzo, pagine rigenerate su un server proprio, bozze con Cache Components); la data dell'ultima pubblicazione. Le decisioni le condividiamo con te prima di metterle in opera.
Il controllo richiede l'accesso al codice e all'hosting. Non possiamo dire dall'esterno se un fornitore terzo ha già applicato le sue protezioni, né quando uscirà la correzione delle due falle rimandate.
Cosa non sappiamo ancora
- Il team non ha dato una data per le due correzioni rimandate.
- Gli annunci non descrivono la falla critica rimandata, quindi non possiamo dire se riguardi funzioni che usi.
- L'annuncio del 6 ottobre non dice se la 16.4 contenga tutte le correzioni di settembre.
Se vuoi che guardiamo il tuo sito, scrivici indicando l'indirizzo, l'hosting e la versione di Next.js: ci occupiamo di siti web ed e-commerce.
Fonti
- Next.js: August 2026 Security Release (25 agosto 2026)
- Vercel: Vercel applications are protected from Next.js August 2026 security vulnerabilities (25 agosto 2026)
- GitHub (vercel/next.js): Release v16.3.4 (31 agosto 2026)
- Next.js: Next.js Security Update for a Critical Upstream Issue (22 settembre 2026)
- GitHub (vercel/next.js): Remote Code Execution in next/og ImageResponse (GHSA-vcvr-r3jv-pc5j) (22 settembre 2026)
- Next.js: Upcoming Next.js September Security Release (23 settembre 2026)
- Next.js: September 2026 Security Release (30 settembre 2026)
- Netlify: Security Update: Multiple vulnerabilities in Next.js (30 settembre 2026)
- Next.js: Next.js 16.4 (6 ottobre 2026)
