Vulnerabilidades de Next.js: siete fallas y una SSRF en next/image

El miércoles 30 de septiembre de 2026 el equipo de Next.js publicó una actualización de seguridad que corrige varias vulnerabilidades de Next.js, entre ellas una de gravedad crítica, una alta y una SSRF en el optimizador de imágenes (next/image). La actualización se había anunciado una semana antes. Si mantenés apps Next.js alojadas por tu cuenta, sobre todo si usan imágenes remotas, conviene que lo revises hoy. Acá va lo que está confirmado, lo que todavía no y qué hacer en cada caso.

Qué anunció Next.js el 30 de septiembre de 2026

El aviso oficial en el blog de Next.js explica que el arreglo de una vulnerabilidad crítica y de una de gravedad alta se había postergado porque dependía de cambios en otros proyectos de los que Next.js depende. Por eso hubo un preaviso: una semana antes se avisó que venía esta actualización.

El mismo día, Netlify publicó un aviso para sus clientes que habla de siete vulnerabilidades y cuyo título menciona "Next.js and React". Una de ellas está identificada:

• CVE-2026-94483 / GHSA-cjq9-62q9-8jv4: SSRF en el optimizador de imágenes de Next.js.

Qué está confirmado y qué no

Al momento de escribir esto, varios detalles no pudimos verificarlos contra los avisos completos. Preferimos decirlo antes que adivinar:

• Confirmado: fecha del anuncio (30/09/2026), que incluye una falla crítica y una alta, y que hay una SSRF en next/image con el identificador CVE-2026-94483.
• Sin confirmar: la gravedad de la SSRF, los CVE de las fallas crítica y alta, las versiones afectadas y las versiones que lo corrigen.
• Sin confirmar: qué paquetes de React están afectados y en qué versiones. Solo sabemos que el título del aviso de Netlify menciona a React.
• Sin confirmar: si alguna de estas fallas se está explotando. En las fuentes consultadas no encontramos nada que lo diga.
• Sin confirmar: si Vercel o Netlify ya las bloquean del lado de la plataforma.

Los datos exactos los vas a encontrar en el aviso oficial, en los avisos de seguridad del repositorio de Next.js en GitHub y en la ficha de la NVD para CVE-2026-94483. Tomá las versiones de ahí, no de resúmenes de terceros.

Por qué importa una SSRF en el optimizador de imágenes

Una SSRF (Server-Side Request Forgery) es una falla en la que alguien logra que tu servidor haga pedidos HTTP a destinos que no deberían ser alcanzables desde afuera: servicios internos, paneles de administración en la red privada o el servicio de metadatos de la nube (169.254.169.254), que en algunos proveedores puede devolver credenciales temporales.

El optimizador de imágenes es, por diseño, un componente que recibe una URL, descarga la imagen desde el servidor y la devuelve redimensionada. Por eso cualquier error en cómo valida esa URL es delicado. No vamos a entrar en cómo se aprovecha la falla: lo útil es entender qué superficie exponés y cómo achicarla.

A quién afectan estas vulnerabilidades de Next.js

• Equipos que alojan sus propias apps Next.js (VPS, contenedores, Kubernetes, servidores propios).
• Especialmente si usan el optimizador de imágenes con imágenes remotas.
• Agencias y estudios que mantienen apps de clientes: cada proyecto puede estar en una rama distinta de Next.js.
• Si estás en Vercel o Netlify, revisá igual los avisos de tu plataforma: no está confirmado si ya hay mitigación del lado del proveedor, y de todos modos vas a tener que actualizar la dependencia.

Cómo saber si tu proyecto está afectado

Primero, fijate qué versiones tenés instaladas realmente (no solo lo que dice el package.json):

# npm
npm ls next react react-dom

# pnpm
pnpm why next

# yarn
yarn why next

Después compará esa versión con la tabla de versiones afectadas del aviso oficial. Para ver qué versiones publicadas hay de cada rama:

npm view next dist-tags
npm view next versions --json

Cómo corregir: actualizar a la versión parcheada de tu rama

La corrección real es actualizar. Instalá la última versión parcheada de la rama que usás, según el aviso:

# Reemplazá <version-parcheada> por la que indique el aviso oficial para tu rama
npm install next@<version-parcheada>

# Si el aviso confirma que React está afectado:
npm install react@<version-parcheada> react-dom@<version-parcheada>

# Verificá que no quedaron copias viejas en el árbol
npm ls next react react-dom

Si usás React Server Components a través de paquetes adicionales, revisá en el aviso si también hay que actualizarlos. Corré tus tests, hacé un build limpio y desplegá. Si tu lockfile fija versiones de forma transitiva, confirmá con npm ls que la versión nueva es la única que queda.

Mitigaciones si no podés actualizar hoy

Estas medidas reducen la exposición a la SSRF del optimizador, pero no reemplazan la actualización ni cubren las otras fallas.

1. Limitar images.remotePatterns a dominios concretos

El error genérico a evitar es aceptar cualquier origen remoto:

// next.config.ts — configuración demasiado amplia (evitala)
import type { NextConfig } from 'next'

const nextConfig: NextConfig = {
  images: {
    remotePatterns: [{ protocol: 'https', hostname: '**' }],
  },
}

export default nextConfig

La versión corregida enumera solo los orígenes que necesitás, con protocolo y ruta:

// next.config.ts — solo orígenes conocidos
import type { NextConfig } from 'next'

const nextConfig: NextConfig = {
  images: {
    remotePatterns: [
      {
        protocol: 'https',
        hostname: 'cdn.tu-dominio.com',
        pathname: '/imagenes/**',
      },
    ],
  },
}

export default nextConfig

El archivo next.config.ts está soportado en versiones recientes; en proyectos más viejos la misma opción va en next.config.js o next.config.mjs. Los detalles están en la documentación de next/image.

2. Desactivar el optimizador temporalmente

Si no podés acotar los orígenes, images: { unoptimized: true } hace que las imágenes se sirvan tal cual, sin pasar por el optimizador. Vas a perder el redimensionado automático, así que revisá el peso de las páginas mientras dure.

3. Cortar el acceso del servidor a la red interna

Aunque actualices, es buena práctica que el proceso de Next.js no pueda conectarse a direcciones privadas ni a 169.254.169.254. Se resuelve con reglas de salida en el firewall, en los grupos de seguridad de la nube o en las políticas de red del contenedor. En AWS, exigir IMDSv2 también dificulta que una SSRF obtenga credenciales del servicio de metadatos.

Qué revisar en los registros

Buscá en los logs de acceso pedidos a /_next/image cuyo parámetro url apunte a destinos raros: localhost, IPs privadas o la dirección de metadatos. Un filtro rápido para empezar:

grep '/_next/image' access.log \
  | grep -Ei 'url=[^&]*(localhost|127\.0\.0\.1|169\.254|192\.168\.|%5B::1%5D)'

Tené en cuenta que el parámetro suele venir codificado y que puede haber falsos positivos. Lo normal es ver rutas relativas propias o los dominios que configuraste. Cualquier otra cosa merece una mirada.

Qué aprender de esta actualización

• Los preavisos sirven: si seguís el blog de seguridad de tus dependencias, tenés una semana para planificar la ventana de actualización.
• Las configuraciones amplias se pagan: un comodín en remotePatterns agranda la superficie de cualquier falla futura en el optimizador.
• Inventariá tus apps: si mantenés varios proyectos, necesitás saber en un minuto qué versión de Next.js corre cada uno.
• Automatizá alertas: herramientas como Dependabot o Renovate abren el PR de actualización apenas sale el parche.

Cómo lo resolvemos en OmenukP

Si preferís que alguien se ocupe, podemos auditar tus proyectos Next.js, aplicar la actualización en cada rama y dejar la configuración más cerrada, incluyendo apps de clientes que mantenés.

• Inventario de versiones de Next.js y React en todos tus repositorios.
• Actualización, build y verificación en un entorno de prueba antes de producción.
• Revisión de images.remotePatterns y reglas de salida de red del servidor.
• Configuración de alertas automáticas de dependencias para la próxima vez.

Pedí presupuesto y lo vemos según tu infraestructura.

En resumen

• El 30/09/2026 Next.js publicó una actualización de seguridad con una falla crítica, una alta y una SSRF en next/image (CVE-2026-94483); Netlify habla de siete vulnerabilidades y menciona a React.
• Las versiones afectadas, las corregidas y si hay explotación activa no están confirmadas acá: tomalas del aviso oficial y de GitHub.
• Revisá con npm ls next react react-dom y actualizá a la versión parcheada de tu rama.
• Si no podés actualizar hoy, restringí remotePatterns o usá unoptimized: true, y bloqueá la salida a la red interna y a 169.254.169.254.
• Buscá en los logs pedidos a /_next/image con URLs internas.