# Next.js corregge sette falle di sicurezza nelle versioni 16.4.5 e 15.5.29

Il 3 novembre 2026 il team di Next.js ha rilasciato le versioni 16.4.5 e 15.5.29, che correggono sette vulnerabilità di sicurezza. In determinate configurazioni, diverse di queste potevano mostrare a un cliente o a un utente contenuti destinati a un altro.

- Pagina: https://www.cognivise.co.uk/it/news/rilascio-sicurezza-next-js
- Originale (inglese): https://www.cognivise.co.uk/news/next-js-security-release-update-16-4-5-15-5-29
- Argomento: Gestire il software
- Pubblicato: 2026-11-05
- Aggiornato: 2026-11-05
- Autore: Cognivise
- Fonte: Next.js, November 2026 Security Release (https://nextjs.org/blog/november-2026-security-release)

## Punti chiave

- Il 3 novembre 2026 Next.js ha rilasciato le versioni 16.4.5 e 15.5.29 per correggere sette vulnerabilità, una delle quali di gravità alta.
- I problemi più gravi potevano, in specifiche configurazioni di caching, mostrare i contenuti di un tenant o di un utente a un altro.
- Le aziende con un sito o un’app basati su Next.js dovrebbero chiedere ai propri sviluppatori di verificare la versione e applicare l’aggiornamento senza indugio.

## Che cosa ha corretto Next.js il 3 novembre

Il 3 novembre 2026 il team di Next.js ha pubblicato un rilascio di sicurezza sul [blog di Next.js](https://nextjs.org/blog/november-2026-security-release), dopo averlo preannunciato la settimana precedente. Corregge sette vulnerabilità: una di gravità alta e sei di gravità media. Le correzioni sono nella versione 16.4.5, la linea Active LTS (supporto a lungo termine), e nella 15.5.29, la linea Maintenance LTS. Il team chiede a chiunque usi Next.js di aggiornare.

Quattro dei problemi, compreso quello di gravità alta, riguardano la funzione di caching di Next.js, Cache Components, che memorizza pagine e dati per poterli riutilizzare:

- in tre casi, contenuti preparati per un tenant, un sito, una lingua o un utente potevano essere serviti a un altro;
- nel quarto, sui siti in self-hosting, un indirizzo web costruito ad arte poteva far mostrare alle pagine condivise il contenuto sbagliato o farle continuare a restituire errori «pagina non trovata».

Gli altri tre riguardano una particolare configurazione di reverse proxy sui siti in self-hosting, che poteva inviare la risposta destinata a un visitatore a un altro; le route Edge, dove valori dei cookie che dovevano restare nascosti agli script potevano essere letti da JavaScript sullo stesso sito; e l’ottimizzazione delle immagini, dove un file SVG camuffato poteva aggirare un’impostazione pensata per bloccare gli SVG.

## Quali siti e app sono esposti

Ti riguarda se il tuo sito web, il tuo negozio online, il tuo portale clienti o la tua applicazione web è basato su Next.js. Il rischio maggiore è per i sistemi che servono più clienti, marchi, siti o lingue da un’unica applicazione e usano Cache Components. In quel caso, una fuga di dati potrebbe mostrare i dati di un cliente a un altro: un problema di riservatezza e di protezione dei dati, oltre che tecnico.

La maggior parte dei problemi si presenta solo in condizioni specifiche: Cache Components attivo, self-hosting anziché una piattaforma gestita, route Edge che impostano i cookie in un certo modo, oppure un backend per le immagini in grado di decodificare i file SVG. La fonte ne limita anche alcuni. Il problema dei cookie richiede che uno script dell’attaccante sia già in esecuzione sul tuo sito, e il problema delle immagini, da solo, non permette a un attaccante di eseguire codice.

Se il tuo software non usa Next.js, nulla di tutto questo ti riguarda.

## Che cosa chiedere subito ai tuoi sviluppatori

La fonte non fissa una scadenza, ma è meglio applicare senza indugio correzioni di sicurezza come queste. Chiedi a chi gestisce il tuo sito o la tua app di:

- confermare se usa Next.js e quale versione;
- aggiornare alla 16.4.5 o alla 15.5.29, a seconda della linea in uso;
- se usi una versione precedente, spiegare il percorso di aggiornamento, dato che il rilascio cita solo queste due linee;
- verificare se usi Cache Components, self-hosting, route Edge o l’ottimizzazione delle immagini, perché sono questi elementi a stabilire quanto è urgente l’aggiornamento;
- testare le pagine principali e gli accessi dopo l’aggiornamento, e svuotare la cache se c’è il dubbio che dei contenuti siano stati serviti alle persone sbagliate.

Se nessuno si occupa del tuo software, il servizio di [assistenza e manutenzione continuativa](https://www.cognivise.co.uk/it/servizi/assistenza-e-manutenzione-software) di Cognivise copre aggiornamenti come questo.

## Leggi anche

- [Assistenza e manutenzione continuativa](https://www.cognivise.co.uk/it/servizi/assistenza-e-manutenzione-software)
- [Che cosa dovrebbe coprire l’assistenza software dopo il lancio?](https://www.cognivise.co.uk/blog/what-application-support-covers)