Next.js 16.4 y la actualización de seguridad de octubre 2026
Next.js 16.4 recomienda Cache Components y se prevé una actualización de seguridad el 14 de octubre. Qué debe hacer quien aloja su propio sitio, paso a paso.
Equipo de rabbitclipPublicación: 6 min. de lectura
En breve
Next.js 16.4 salió el 6 de octubre de 2026 y recomienda Cache Components como la mejor opción para cualquier aplicación Next.js. El equipo de Next.js también anunció que prevé publicar el 14 de octubre de 2026, es decir, hoy, una actualización de seguridad que cierra dos vulnerabilidades críticas y una de gravedad alta. Si su sitio está hecho con Next.js y funciona en su propio servidor, la tarea de esta semana es clara: averiguar su versión, esperar la actualización publicada y después probarla y aplicarla.
Cuando se escribió este artículo, el número de versión de esa actualización aún no se había publicado, por lo que no damos ninguno. Según el anuncio, los fallos no están en el código propio de Next.js, sino en las dependencias de origen que utiliza.
A continuación encontrará qué aporta la 16.4, qué es la actualización de octubre, qué podemos aprender de la anterior versión de seguridad de agosto, una lista de comprobación para quienes alojan su propio sitio, los errores más habituales y los casos en que esta guía no es para usted.
¿Qué cambió Next.js 16.4?
En el anuncio de Next.js 16.4, el equipo escribe que recomienda Cache Components como la mejor opción para cualquier aplicación Next.js. En las aplicaciones nuevas creadas con create-next-app la función viene activada por defecto, y será la opción por defecto en Next.js 17. Cache Components es la estructura que permite separar qué partes de una página se preparan y guardan de antemano y cuáles se generan cuando llega un visitante.
El anuncio explica que ensureStatic puede garantizar en tiempo de compilación que una ruta siga siendo totalmente estática, y que navigation() y prefetch() permiten dejar fuera de la precarga cierto contenido. La versión llega junto con React 19.3. Las fuentes no describen por separado cómo afecta esta recomendación a las aplicaciones existentes; lea el anuncio antes de actualizar.
¿Qué novedades menores llegan en el lado del desarrollo?
La 16.4 también cambia la experiencia de desarrollo. Según el anuncio, el comando next upgrade --agent realiza una actualización asistida por un agente, y la política por defecto del ajuste experimental.agentUpgrade es security: es decir, un recordatorio de actualización frente a vulnerabilidades conocidas.
En el lado de React, el anuncio de React 19.3 del 9 de septiembre de 2026 forma parte de esta versión. Son detalles que se notan en el trabajo diario; el visitante de un sitio no verá directamente la mayoría, pero el trabajo del equipo de desarrollo puede acelerarse.
- La caché de disco de Turbopack es un 20–25 % más pequeña
- Paquetes de producción más pequeños: nombres de clase de CSS Module más cortos y export mangling
- React 19.3: View Transitions y Fragment Refs pasan a ser estables
- React 19.3: la API browser(), compatibilidad con Trusted Types y Context usado directamente en Server Components
¿Qué cerrará la actualización de seguridad del 14 de octubre?
El anuncio de Next.js del 8 de octubre de 2026 dice que el miércoles siguiente, el 14 de octubre, se publicará una actualización de seguridad que aborda dos vulnerabilidades críticas y una de gravedad alta en dependencias de origen. Hablamos, pues, de una actualización cuya publicación está prevista para el 14 de octubre; cuando se escribió esto, aún no había salido.
Observamos que el anuncio no da en esta fase los detalles de los fallos, y no especulamos. Cuando aplique la actualización, lea las notas de la versión en la página oficial de Next.js y confirme allí los detalles.
¿Qué nos enseña la versión de seguridad de agosto?
El 25 de agosto de 2026 salieron las versiones de seguridad 16.3.3 (Active LTS) y 15.5.24 (Maintenance LTS). Había dos fallos críticos. Uno permitía la ejecución remota de código sin autenticación cuando la Image Optimization API procesaba AVIF; afectaba a libheif, que usa sharp, y el parche desactiva temporalmente la optimización de AVIF.
El segundo era una ejecución remota de código en servidores alojados en Windows, en aplicaciones que usan a la vez el Pages Router y el App Router y no usan Cache Components; Linux y macOS no se veían afectados. La lección es esta: un fallo puede no estar en el código que usted mismo escribió. Puede aparecer en la infraestructura que utiliza, en piezas secundarias como el procesamiento de imágenes, y su efecto puede variar según el entorno de alojamiento.
¿Qué debe hacer quien aloja su propio sitio?
Si gestiona su sitio en su propio servidor o en uno privado, aplicar la actualización es tarea de su propio equipo; un proveedor de alojamiento no lo hará por usted. Anote primero qué versión de Next.js usa, porque tendrá que confirmar en el anuncio oficial a qué líneas de versiones llegará la actualización.
Cuando se publique la actualización, compílela primero en un entorno de pruebas, pruebe a mano las páginas principales y los formularios, y después pase a producción. Tras la puesta en marcha, compruebe que el sitio se abre y que las imágenes cargan. La herramienta de auditoría de seguridad de rabbitclip puede dar un vistazo rápido desde fuera a las cabeceras de su sitio, pero no sustituye a la actualización de versión.
- Anote la versión y la línea de Next.js que usa
- Confirme la versión publicada en la página oficial del anuncio
- Compile y pruebe primero en un entorno de pruebas
- Tras la puesta en marcha, compruebe las páginas y las imágenes
¿Qué errores se cometen con más frecuencia?
El error más común es ver un aviso de seguridad y dejarlo para la semana siguiente. Una gravedad crítica indica que la actualización no debería esperar en la lista de mantenimiento ordinaria.
El segundo es pasar la actualización a producción sin probarla. El tercero es leer el anuncio sin conocer la propia versión; si no sabe en qué línea está, no puede saber qué parche es el suyo.
- Aplazar la actualización de seguridad
- Pasar a producción sin probar
- No conocer la propia versión
- Activar Cache Components con prisas durante la actualización
¿Cuándo no es para usted esta guía?
Si su sitio no está hecho con Next.js, este artículo no le concierne. Si está hecho con Next.js pero funciona en una plataforma gestionada por un proveedor de alojamiento, puede bastar con preguntar a su proveedor cómo se aplicará la actualización.
La decisión equivocada sería hacer la actualización de seguridad el mismo día que el paso a Cache Components. Mantenga ambas cosas separadas: aplique primero el parche y haga el cambio como un trabajo planificado y aparte.
En resumen, Next.js 16.4 recomienda Cache Components y el 14 de octubre llega una actualización de seguridad prevista para cerrar dos vulnerabilidades críticas y una de gravedad alta. Para quienes alojan su propio sitio, el orden es sencillo: averiguar la versión, confirmar la actualización publicada en la página oficial, probarla y aplicarla. Si desea planificar este trabajo junto con nosotros para su sitio, con mucho gusto mantendremos con usted una conversación de descubrimiento tranquila en rabbitclip.
Preguntas frecuentes
¿Es obligatorio actualizar a Next.js 16.4?
Nuestras fuentes no mencionan ninguna obligación de ese tipo. La 16.4 recomienda Cache Components, pero un parche de seguridad y una actualización de versión son asuntos distintos. Basta con aplicar primero el parche.
¿Cuál es el número de versión de la actualización del 14 de octubre?
El número de versión no se había publicado cuando se escribió esto. Siga la actualización en la página oficial de anuncios de Next.js.
¿Será obligatorio Cache Components en Next.js 17?
Según el anuncio, estará activado por defecto en Next.js 17. Nuestras fuentes no dicen nada sobre si será obligatorio.
¿Se vieron afectados por el fallo de agosto los sitios alojados en Windows?
Según el anuncio de agosto, se veían afectadas las aplicaciones alojadas en Windows que usan a la vez el Pages Router y el App Router y no usan Cache Components. Linux y macOS no se veían afectados.
Fuentes
Los datos concretos de este artículo se basan en estas páginas oficiales; compruebe allí la situación actual.
