Due falle critiche di sicurezza scoperte in Next.js: cosa cambia per le PMI

Il 14 ottobre 2026 Vercel ha rilasciato un aggiornamento di sicurezza d'emergenza per Next.js, uno dei framework più usati al mondo per costruire siti e applicazioni web moderne, per correggere due vulnerabilità critiche che permettevano l'esecuzione di codice da remoto senza bisogno di autenticarsi. Conta per una PMI italiana non perché "bisogna cambiare framework", ma perché molte web app, portali clienti e siti aziendali di oggi sono costruiti proprio su Next.js, spesso senza che chi li usa ogni giorno lo sappia. La sicurezza di un sito non è un lavoro che finisce al momento del lancio: è manutenzione continua, e questo aggiornamento lo dimostra con un caso reale, datato e verificabile.

Cos'è successo con l'aggiornamento di sicurezza di Next.js?

Il 14 ottobre 2026 il team di Next.js ha pubblicato un aggiornamento fuori calendario per correggere tre problemi di sicurezza, due dei quali classificati a gravità critica. Il primo riguarda le funzioni use cache di Cache Components: se una di queste funzioni restituisce più array tipizzati, un'applicazione può diventare vulnerabile a esecuzione di codice da remoto senza che l'attaccante debba autenticarsi, e non esiste un workaround per le app già interessate. Il secondo problema, identificato con il codice CVE-2026-96889, riguarda l'API di ottimizzazione delle immagini quando gestisce file SVG su server Linux basati su glibc: anche qui si parla di esecuzione di codice da remoto senza autenticazione, dovuta a una libreria di terze parti usata internamente da Next.js. Il terzo, di gravità alta, è un bug di tipo denial of service nelle Server Actions che può bloccare l'elaborazione delle richieste su un intero processo. Le versioni corrette sono la 16.4.1 (per chi usa il ramo più recente) e la 15.5.28 (per chi è rimasto sulla serie precedente): Vercel invita a installarle subito, anche sulle applicazioni che non usano in modo esplicito le funzionalità coinvolte. Un dettaglio che vale la pena notare: questo non è il primo intervento del genere nel giro di poche settimane. Il bollettino del 14 ottobre spiega che due delle tre correzioni erano già previste nel rilascio di sicurezza di settembre 2026, ma erano state rimandate per un ritardo in una dipendenza esterna. È un promemoria che anche i team che sviluppano i framework più usati al mondo lavorano con gli stessi vincoli di qualunque fornitore software: dipendenze di terze parti che non sempre rispondono ai tempi previsti. Non tutti i siti costruiti con Next.js sono esposti allo stesso modo. La falla più grave, quella legata alle funzioni use cache, riguarda solo le applicazioni che usano l'architettura App Router con Cache Components attivo, una funzionalità più recente che molti progetti già avviati non hanno ancora adottato. Il bug di denial of service nelle Server Actions riguarda invece qualunque app App Router che ne usi almeno una, mentre chi è rimasto sul Pages Router, l'architettura più "classica" di Next.js, non risulta coinvolto in questo specifico problema. La falla nell'ottimizzazione delle immagini SVG è probabilmente quella con la superficie di attacco più ampia, perché colpisce chi gira su server Linux basati su glibc, una configurazione molto comune per l'hosting di applicazioni web professionali.

Perché conta anche se la tua azienda non ha mai sentito parlare di Next.js?

La maggior parte delle PMI che ha commissionato un sito o una web app negli ultimi anni non sa, e non ha motivo di sapere, su quale framework tecnico sia stata costruita: è una scelta che normalmente spetta a chi sviluppa, non a chi commissiona il lavoro. Next.js è però tra le scelte più comuni in assoluto per siti aziendali, e-commerce e portali clienti moderni, proprio per le prestazioni che offre: è quindi statisticamente probabile che diversi siti italiani ne facciano uso, anche indirettamente tramite un tema o un builder che lo utilizza sotto il cofano. Il punto non banale di questo episodio è la combinazione tra gravità e silenziosità: un'esecuzione di codice da remoto senza autenticazione significa che un attaccante può, in teoria, prendere il controllo del server senza bisogno di credenziali valide, ed è un tipo di falla che nella pratica si traduce in violazioni di dati o in siti compromessi usati per scopi malevoli a insaputa del proprietario. Non è un bug cosmetico: è della stessa famiglia di problemi che hanno causato alcuni degli incidenti di sicurezza più seri degli ultimi anni nel mondo web. Questo episodio ricorda anche un pattern più generale, utile oltre il singolo caso: un sito web moderno si appoggia oggi a decine di librerie open source mantenute da terzi, e la sicurezza di un sito dipende quindi anche da quanto rapidamente chi lo gestisce applica le correzioni che questi progetti rilasciano, non solo da come è stato scritto il codice originale.

Cosa fare in pratica se hai un sito o una web app aziendale?

Il primo passo concreto è semplice: chiedere a chi ha sviluppato o mantiene il tuo sito se usa Next.js e, in caso affermativo, se è già stato aggiornato alla versione 16.4.1 o 15.5.28. Se la risposta è "non lo so" o tarda ad arrivare, è di per sé un segnale su quanto la manutenzione del sito sia davvero presidiata, al di là di questo singolo episodio. Più in generale, è il momento giusto per chiedersi se il proprio sito o la propria web app ricevono un controllo periodico degli aggiornamenti di sicurezza, oppure se sono stati consegnati una volta e poi lasciati fermi. Un progetto di sviluppo web app su misura pensato per durare nel tempo include normalmente anche questo tipo di monitoraggio, non solo lo sviluppo iniziale delle funzionalità. Non serve allarmarsi per ogni singolo bollettino di sicurezza che esce: serve invece avere, fin dall'inizio di un progetto, un referente che li legga, valuti se riguardano il proprio caso e agisca di conseguenza entro tempi ragionevoli. È la differenza tra un sito che resta sicuro nel tempo e uno che lo è stato solo il giorno del lancio.

L'aggiornamento di sicurezza di Next.js del 14 ottobre 2026 non è una notizia che riguarda solo chi scrive codice: è un promemoria concreto che un sito o una web app aziendale non sono un progetto che finisce alla consegna, ma un sistema che va seguito nel tempo quanto gli impianti fisici di un'azienda. Per una PMI italiana, la domanda utile non è se questo specifico bug la riguardi, ma se chi gestisce oggi il suo sito sarebbe stato in grado di accorgersene e intervenire in tempo.