Vercel a publié le 14 octobre une mise à jour de sécurité hors calendrier pour Next.js : deux failles critiques permettent une exécution de code à distance sans authentification, et une troisième peut bloquer un serveur. Il faut passer en 16.4.1 ou en 15.5.28 au minimum.
- Versions corrigées : 16.4.1 (LTS active) et 15.5.28 (LTS de maintenance).
- Deux failles critiques :
use cacheavec des tableaux typés, et l’optimisation d’images sur des SVG. - Une faille haute : déni de service via les Server Actions de l’App Router.
- Pas de contournement pour la première : la mise à jour est la seule parade.
Plan de l'article
- Que corrige la mise à jour du 14 octobre ?
- Pourquoi la faille de « use cache » est-elle la plus sérieuse ?
- Qui est exposé par la faille de l’optimisation d’images ?
- Et le déni de service des Server Actions ?
- Comment mettre à jour un projet sans casse ?
- Que retenir pour un développeur en formation ?
- Questions fréquentes
Que corrige la mise à jour du 14 octobre ? #
Le correctif avait été annoncé une semaine plus tôt sur le blog officiel, dans un billet qui prévenait qu’une mise à jour exceptionnelle arrivait. Elle reprend deux corrections reportées de la publication de sécurité de septembre, faute de dépendances amont prêtes à temps.
Ces dépendances, ce sont React d’un côté et la bibliothèque de traitement d’images de l’autre. C’est pourquoi chaque avis Next.js renvoie vers un avis lié côté React. Les correctifs sont livrés dans les deux branches maintenues : la 16.4, en support long actif, et la 15.5, en maintenance.
Pourquoi la faille de « use cache » est-elle la plus sérieuse ? #
Elle touche les applications qui utilisent l’App Router avec les Cache Components. D’après l’avis GHSA-673q-mjm6-r5xr, une fonction marquée use cache qui renvoie plusieurs tableaux typés (des Uint8Array, par exemple) peut ouvrir la voie à une exécution de code à distance, sans que l’attaquant ait besoin d’un compte.
L’équipe Next.js précise qu’il n’existe aucun contournement. Elle recommande de mettre à jour immédiatement, même si l’application ne contient pas de fonction de ce type. C’est la consigne à retenir : on ne trie pas les projets à la main, on met à jour.
Qui est exposé par la faille de l’optimisation d’images ? #
La deuxième faille critique, enregistrée sous le numéro CVE-2026-96889, vient d’un problème mémoire dans une bibliothèque utilisée par l’API d’optimisation d’images. Elle concerne le traitement des fichiers SVG quand Next.js tourne sur un Linux basé sur glibc, comme les images Docker basées sur Debian ou Ubuntu.
Un contournement existe ici : s’assurer que la version de sharp utilisée par Next.js est la 0.35.5 ou plus récente. En passant aux versions corrigées de Next.js, le gestionnaire de paquets installe de lui-même une version saine de sharp.
Et le déni de service des Server Actions ? #
Classée en gravité haute, cette troisième faille vise les applications App Router qui déclarent au moins une Server Action. Des requêtes forgées font grimper l’usage du processeur au point de bloquer le traitement des requêtes suivantes dans le même processus.
Les projets restés sur le Pages Router, ou qui n’utilisent aucune Server Action, ne sont pas concernés. Sur un hébergement à un seul processus Node, l’effet est pourtant immédiat : le site ne répond plus.
Comment mettre à jour un projet sans casse ? #
La commande donnée par l’équipe Next.js dépend de la branche utilisée :
À lire Camel Caps : Guide Notation Programmation 2026
npm install next@16.4.1 # projets en 16.4
npm install next@15.5.28 # projets en 15.5Avant de déployer, il reste prudent de relancer le build et les tests de bout en bout, puis de vérifier dans le fichier de verrouillage que sharp a bien suivi. Un npm ls sharp suffit à le contrôler.
Pour une équipe qui gère plusieurs applications, c’est aussi le moment d’activer les alertes de sécurité du dépôt (Dependabot ou équivalent) : les trois avis sont publiés dans la base GitHub, donc détectés automatiquement.
Que retenir pour un développeur en formation ? #
Cet épisode illustre une réalité du développement web moderne : un framework dépend de briques amont, et une faille dans React ou dans une bibliothèque d’images remonte jusqu’à votre application. Savoir lire un avis de sécurité, repérer sa branche de support et appliquer un correctif rapidement fait partie des compétences attendues en entreprise.
Les versions plus anciennes que la 15.5 ne figurent pas dans les correctifs publiés. Un projet resté en 14.x ou en 13.x doit donc être migré vers une branche maintenue.
À lire Horizontal Rule HTML : Guide CSS 2026
Questions fréquentes #
Mon site Next.js est en export statique, suis-je concerné ?
Les failles visent le serveur : use cache, l’API d’optimisation d’images et les Server Actions s’exécutent côté serveur. Un export entièrement statique servi sans serveur Node n’expose pas ces points, mais mettre à jour reste conseillé.
Faut-il mettre à jour même sans Cache Components ?
Oui. L’équipe Next.js demande explicitement de mettre à jour immédiatement, même sans fonction de ce type dans l’application.
Quelle version de sharp faut-il avoir ?
La 0.35.5 ou une version plus récente. Les versions corrigées de Next.js l’installent automatiquement.
