Next.js : deux failles RCE, 16.4.1 et 15.5.28

Ce qui se passe

Le 14 octobre 2026, Next.js a livré une mise à jour de sécurité en dehors de son calendrier. Elle ferme trois failles, dont deux permettent d'exécuter du code à distance sans authentification :

Faille	Versions touchées	Corrigée en	Qui est exposé
Exécution de code via `use cache` — GHSA-673q-mjm6-r5xr, CVSS 9.5	16.0.0 à 16.4.0	16.4.1	App Router avec Cache Components, où une fonction `use cache` renvoie plus d'un tableau typé
Exécution de code via SVG — CVE-2026-96889, GHSA-2464-fhr4-w9xw, CVSS 9.5	10.0.0 à 15.5.27 et 16.0.0 à 16.4.0	16.4.1, ou 15.5.28 avec `sharp` 0.35.5 ou plus	Apps qui passent un SVG non fiable à `sharp`, sous Linux glibc
Déni de service via Server Actions — GHSA-p3m5-59mp-jv5r, gravité haute	13.0.0 à 15.5.27 et 16.0.0 à 16.4.0	15.5.28 et 16.4.1	App Router avec au moins une Server Action

Le mécanisme

La première faille loge dans les React Server Components. L'avis de React (GHSA-xqc2-xf4c-x3h3) couvre react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack, versions 19.0.0 à 19.3.0, et parle de cas « extrêmement rares » où une réponse transporte plusieurs tableaux typés et une valeur contrôlée par l'attaquant. Ce n'est pas React2Shell de décembre 2025, qui touchait les trois mêmes paquets mais bien plus largement.

La seconde est un bogue mémoire de librsvg, atteint par le paquet sharp que Next utilise pour les images. Par défaut Next n'optimise pas les SVG : il faut activer dangerouslyAllowSVG. La même bibliothèque dessine aussi les images de next/og sur le runtime Node.js.

La troisième sature un processus : des requêtes forgées le poussent à 100 % de processeur, et il cesse de traiter les autres requêtes. Le Pages Router et les apps sans Server Action ne sont pas concernés.

Les limites

Next 15 garde un piège. La 16.4.1 exige sharp 0.35.5, donc la mise à jour suffit. La 15.5.28 accepte encore sharp 0.34.x, et une mise à jour sur une installation existante peut laisser cette version en place.
Pas d'alerte automatique. Au 15 octobre, les failles use cache et Server Actions n'avaient pas de CVE et n'étaient pas dans le flux d'avis npm que lit npm audit. Seule la faille SVG remonte, via l'avis de sharp.
Pas de contournement pour use cache ni pour Server Actions : seule la mise à jour les ferme.
Aucune attaque n'est rapportée, mais c'est le troisième bogue de traitement d'image exploitable dans Next depuis août (libheif en août, next/og en septembre), et un exploit public existe pour celui de septembre. Le chercheur Rafael B. Dias rattache cette faille SVG à celle de next/og.

Que faire

Passer en 16.4.1 (version 16) ou 15.5.28 (version 15), reconstruire et redéployer. Même sans fonction use cache, Vercel recommande de mettre à jour.
Contrôler sharp :
Terminal
```
npm ls sharp
```
Il faut 0.35.5 ou plus (librsvg 2.63.2). Sinon, mettre sharp à jour explicitement.
Si la mise à jour doit attendre, pour la faille SVG seulement : monter sharp à 0.35.5, ou bloquer le chargeur SVG.
JavaScript
```
sharp.block({ operation: ["VipsForeignLoadSvg"] });
```

Netlify indique que sa plateforme n'exécute pas le chemin de l'optimiseur d'images et que l'impact y est limité, tout en recommandant de mettre à jour.

Source : The Hacker News, 15 octobre 2026, qui renvoie à l'avis de Next.js du 14 octobre.