Next.js : failles critiques corrigées en 2026, passez à 15.5.28 ou 16.4.1

En octobre 2026, Next.js a publié une mise à jour de sécurité hors calendrier qui corrige deux failles critiques permettant à un attaquant d'exécuter du code sur le serveur sans se connecter, ainsi qu'un déni de service de gravité élevée. Elle suit deux autres mises à jour critiques en août et en septembre 2026 : un site mis à jour pendant l'été peut donc avoir besoin d'une nouvelle mise à jour.

Le 14 octobre 2026, les correctifs visaient une exécution de code à distance dans Cache Components lorsqu'une fonction use cache renvoie des tableaux typés (GHSA-673q-mjm6-r5xr), une exécution de code à distance dans l'API d'optimisation d'images lors du traitement d'images SVG sur Linux avec glibc (CVE-2026-96889, due à une bibliothèque utilisée par sharp), et un déni de service dans les Server Actions. Le 22 septembre 2026, Next.js a corrigé une exécution de code à distance dans la fonction ImageResponse pour Node.js (next/og), qui génère les images de partage sur les réseaux sociaux, dans les versions 16.2.0 à 16.3.5. Le 25 août 2026, il a corrigé une exécution de code à distance par l'optimisation d'images AVIF et une faille qui touche seulement les serveurs sous Windows (CVE-2026-75604).

Qui est concerné

Les sites et applications construits avec Next.js 15 ou 16, en particulier ceux qui tournent sur leur propre serveur (serveur privé virtuel, Docker ou hébergeur Node.js) et utilisent l'optimisation d'images ou Cache Components. L'exposition dépend des fonctions utilisées et de l'endroit où le site tourne. Netlify, par exemple, indique que le chemin next/image n'est pas utilisé sur sa plateforme, car son CDN d'images s'en charge, mais que les applications qui utilisent use cache avec des tableaux typés y sont aussi touchées. Ces mises à jour n'ont été publiées que pour les branches 15.5 et 16 : un site sur une branche plus ancienne demande une mise à niveau plus importante.

Comment vérifier votre site

Demandez à votre développeur, ou ouvrez le fichier package.json du projet et cherchez « next » et sa version. Les tableaux de bord de Vercel et de Netlify affichent aussi le framework. À la date de cette alerte, les versions corrigées sont 15.5.28 ou plus récente sur la branche 15.5, et 16.4.1 ou plus récente sur la branche 16.

Quoi faire maintenant

• Demandez à votre développeur de mettre next à jour vers 15.5.28 ou 16.4.1, ou plus récent, puis de redéployer. Cela apporte aussi une version corrigée de sharp ; Next.js indique sharp 0.35.5 ou plus récent comme contournement pour la faille SVG.
• Si vous êtes sur Next.js 15.4 ou plus ancien, prévoyez le passage à une branche maintenue.
• Sur Netlify, supprimez les anciens aperçus de déploiement et déploiements de branches publics, qui peuvent rester vulnérables.
• Les sites mis à jour après le 14 octobre 2026 sont très probablement protégés, mais vérifiez la version.

Cette alerte rapporte ce que les sources ont publié et ne constitue pas une garantie pour un site en particulier.