Le 14 octobre 2026, l’équipe de Next.js a publié une mise à jour de sécurité couvrant trois vulnérabilités, dont deux classées critiques. Les versions corrigées sont Next.js 16.4.1 pour la branche Active LTS et 15.5.28 pour la branche Maintenance LTS. L’annonce appelle les développeurs à mettre à jour leurs applications, mais les conditions d’exposition ne sont pas identiques pour chaque faille. [1]
Trois mécanismes à ne pas confondre
Le premier problème concerne Cache Components dans App Router : certaines fonctions utilisant « use cache » et renvoyant plusieurs tableaux typés peuvent permettre une exécution de code à distance sans authentification. L’équipe indique ne pas disposer de solution de contournement et recommande la mise à jour, y compris lorsque les fonctions identifiées ne semblent pas présentes dans le projet. [1]
Une autre vulnérabilité touche une bibliothèque utilisée en amont par l’optimisation d’images. Lors du traitement de fichiers SVG, elle peut conduire à une exécution de code à distance sur des systèmes Linux reposant sur glibc. L’avis officiel précise que la bibliothèque sharp doit être en version 0.35.5 ou supérieure ; les versions corrigées de Next.js permettent aux gestionnaires de paquets de fournir cette dépendance corrigée. Ce périmètre technique importe : toutes les façons de servir une image ne suivent pas nécessairement ce chemin de traitement. [2]
Le déni de service vise une configuration précise
Le troisième avis décrit une consommation excessive du processeur provoquée par des requêtes spécialement construites. Le cas visé associe App Router et au moins une Server Action. Le processus occupé peut alors ne plus traiter les autres requêtes. Les applications utilisant Pages Router, ou n’utilisant pas de Server Actions, ne sont pas vulnérables à ce problème particulier. Cette exclusion ne vaut pas automatiquement pour les deux autres failles. [3]
Autrement dit, il faut distinguer une atteinte possible à l’exécution du serveur d’un problème de disponibilité. Une page qui répond normalement au moment d’un test ne suffit pas à établir que sa version est corrigée. Le numéro réellement déployé et les fonctions utilisées sont des éléments plus utiles pour décider de la maintenance à effectuer.
Corriger le projet, mais aussi ses déploiements
Netlify recommande également de mettre à jour puis de redéployer. L’hébergeur explique que son architecture modifie certains impacts : les images next/image sont servies par son Image CDN, tandis que certains usages de next/og peuvent rester concernés. Pour le déni de service, l’isolation et la montée en charge des fonctions peuvent limiter la perturbation des autres requêtes, sans empêcher d’éventuels coûts supplémentaires. Ces précisions décrivent Netlify, pas tous les hébergements. [4]
L’entreprise souligne aussi un angle mort : les anciennes prévisualisations et les déploiements de branches encore accessibles ne deviennent pas corrigés simplement parce que la production a été remplacée. Il faut examiner ces environnements et retirer ceux qui exposent toujours une version vulnérable. [4]
Une démarche de maintenance, pas un constat de piratage
Pour une équipe web, l’approche pratique consiste à recenser ses applications Next.js, vérifier les versions installées, tester la mise à jour puis suivre le redéploiement de chaque environnement conservé. Cette annonce ne permet pas, à elle seule, de conclure qu’un site donné a été compromis. Elle fournit des correctifs et des périmètres d’exposition à examiner ; un éventuel incident doit être établi séparément.
Sources
[1] Équipe Next.js — Bulletin de sécurité Next.js, publié le 14 octobre 2026.
[2] Vercel / Next.js — Avis sur l’optimisation SVG, publié le 14 octobre 2026.
[3] Vercel / Next.js — Avis sur les Server Actions, publié le 14 octobre 2026.
[4] Netlify — Conséquences pour les déploiements Netlify, publié le 14 octobre 2026. Sources consultées le 15 octobre 2026.
Crédit photographique
Photo d’illustration d’archive : baies de serveurs, Carl Lender, 4 novembre 2015. Elle ne représente pas une infrastructure identifiée de Next.js ou Netlify. Original sur Wikimedia Commons ; licence CC BY 2.0. Version redimensionnée à 1 280 × 853 pixels, sans recadrage supplémentaire.
.jpg){kind=link}