CVE-2025-66478: RCE crítico en el protocolo de React Server Components (Next.js)
Vulnerabilidad crítica en el protocolo RSC que afecta a Next.js, más dos flaws adicionales reportadas el 11-dic en RSC. Blast radius enorme: cualquier app Next.js con App Router/Server Components en producción está expuesta. Publicado por el equipo de Next.js/Vercel. Para un dev del stack JS/TS esto es prioridad cero: el patrón RSC serializa payloads servidor→cliente y una falla ahí abre superficie de ejecución/deserialización. Acción: parchear YA a las versiones fijadas en los advisories oficiales, auditar versiones de Next en CI y bloquear deploys con versiones vulnerables. No esperar al próximo sprint.
Leer nota completa
Seis vulnerabilidades 'Proto6' en protobuf.js permiten RCE y DoS en apps Node.js
Investigadores reportan media docena de fallas en protobuf.js, la implementación JS/TS de Protocol Buffers, explotables para remote code execution y denial-of-service. protobuf.js es dependencia transitiva masiva en gRPC-web, gateways y microservicios Node. El vector típico: parsing de mensajes malformados que desencadena ejecución o agota recursos. Para cualquier backend Node que deserialice protobuf desde fuentes no confiables, el riesgo es directo. Acción: correr `npm ls protobufjs`, actualizar a la versión parcheada inmediatamente, y validar input antes de decode en endpoints expuestos. Revisar dependencias transitivas, no solo directas.
Next.js 16.2: Adapter API estable, Turbopack más rápido y tooling para agentes IA
Next.js 16.2 estabiliza la Adapter API con suite de tests pública y un working group para deploy consistente fuera de Vercel (OpenNext incluido) — relevante si self-hosteás o deployás en Cloudflare/AWS. Turbopack suma SRI, postcss.config.ts, tree-shaking de imports dinámicos, Server Fast Refresh y +200 bugfixes. También llega AGENTS.md en create-next-app, browser log forwarding y next-browser para debugging de agentes. Sumado a Next.js 16 (Cache Components, Turbopack estable, soporte React Compiler, React 19.2). Acción: evaluar migración a 16.2 en proyectos nuevos; la Adapter estable reduce lock-in de plataforma. Probar en staging antes de prod.
Qué significa el panorama y qué conviene tener en cuenta.
En una mirada
Día denso en seguridad: CVE-2025-66478 crítica en React Server Components fuerza upgrade urgente de Next.js, mientras Microsoft parchea récord de 206 flaws (3 zero-days) y protobuf.js expone Node.js a RCE/DoS vía 6 vulns 'Proto6'. ServiceNow, Langflow (RCE no autenticado activamente explotado), Ivanti/Fortinet/SAP también sangran. En frameworks, Next.js 16.2 estabiliza Adapter API y mejora Turbopack. IA: Anthropic lanza Claude Fable 5, Google DeepMind suelta DiffusionGemma (4x más rápido), Nvidia Nemotron 3 Ultra. Infra: Meta construye datacenters en tiendas de campaña al estilo Tesla.
Lo esencial
Esta semana es de patching defensivo: bloqueá deploys de Next.js vulnerable a CVE-2025-66478 y actualizá protobuf.js en todo backend Node antes de tocar features. Después, evaluá migrar a Next 16.2 por la Adapter API estable. Aislá cualquier instancia Langflow expuesta hasta que haya parche.
Patrones del día
Oleada coordinada de parches críticos: Microsoft con récord de 206 flaws (3 zero-days, incluido Defender RoguePlanet con SYSTEM access), Ivanti/Fortinet/SAP con RCE, ServiceNow comprometido, Langflow con RCE no autenticado explotado activamente, y CISA sumando Cisco/Chrome/Arista al KEV. Semana de patching agresivo en infra enterprise.
IA se acelera en releases concretos: Claude Fable 5 (Anthropic, con clasificadores de safety como producto dual), DiffusionGemma de DeepMind (text gen 4x más rápido vía flow matching), Nemotron 3 Ultra de Nvidia (MoE abierto). Paralelo: tooling agéntico permea todo —GitHub Copilot CLI con LSP, AGENTS.md en Next, gateways con budgets por API key.
Langflow (CVE-2026-5027) muestra el lado oscuro del boom de plataformas low-code IA: RCE no autenticado explotado en producción sin parche disponible. La superficie de ataque de frameworks 'build AI apps fast' está madurando más lento que su adopción.
Claude Opus · Hacker News, dev.to, GitHub Blog, Next.js y TechCrunch. Análisis IA — puede contener errores.