Backend & Fullstack Daily — 15 oct. 2026 : deux RCE critiques dans Next.js, Node 26.12 et correctifs containerd dans Docker
CVE-2026-96889: RCE en la Image Optimization API de Next.js vía sharp y SVG
Falla de memoria en la librería upstream que usa next/image, explotable sin auth en Linux glibc. El rango es enorme: desde Next 10. Si no podés subir de versión hoy, el workaround es forzar sharp >= 0.35.5 en tu lockfile. Tené en cuenta que cualquier proyecto que use sharp directo para procesar SVG de usuarios está en la misma.
GHSA-673q-mjm6-r5xr: RCE en funciones use cache que devuelven typed arrays
Afecta a App Router con Cache Components en 16.0.0–16.4.0. La condición es una función use cache que devuelve varios typed arrays, pero Vercel pide subir aunque no tengas ese patrón. Es un recordatorio de que la serialización de caché es superficie de ataque, igual que cualquier deserializador.
Node.js 24.22.0 LTS: parsePKCS12(), API genérica de MAC y GCM-SIV en crypto
La LTS recibe una tanda grande de semver-minor: crypto.parsePKCS12(), una API genérica de MAC, modos SIV y GCM-SIV en Cipher/Decipher y descubrimiento de ciphers y hashes desde providers de OpenSSL. Además, net.BoundSocket se puede pasar a workers y child processes, y perf_hooks suma SlidingWindowHistogram y meanCI. Si estás en 24.x en producción, esta es la imagen base a apuntar.
Prisma 8.0.0-rc.18: raw SQL como literal sql, mixins en PSL y whereUnique
Breaking: en PSL, @@index(where:), @@check(expression:) y las policies ahora exigen un literal sql; un string común se rechaza con PSL_VALUE_TYPE_INCOMPATIBLE (hay script de migración en la receta). Además: índices full-text sobre varios campos con pesos, middleware que observa cada statement y transacción, mixins en PSL y firstOrThrow. Si estás probando la RC, leé la receta antes de subir: el storage hash cambia una vez.
Valkey a dos años del fork: replicación sincrónica y tiering a SSD en el horizonte
InfoQ entrevistó a mantenedores de Valkey en Open Source Summit Europe. La 9 ya trajo bases numeradas en cluster mode, migración atómica de slots y expiración por campo de hash. Lo que se discute ahora: replicación sincrónica para datos durables y mover datos fríos a SSD. Si usás Redis como algo más que caché, seguí esta hoja de ruta de cerca.
Lambda durable functions: de 3.000 a 30.000 operaciones y checkpoints de 1 MB
El límite de operaciones durables por ejecución se multiplica por diez y el payload de checkpoint pasa de 256 KB a 1 MB, igual que SQS y EventBridge. Traducción: loops más largos, polling más extenso y rollbacks tipo saga más completos sin partir el workflow en varias ejecuciones.
Amazon S3 llega al Vercel Marketplace y a v0
Buckets de propósito general, S3 Tables (Iceberg) y S3 Vectors se provisionan desde Vercel. Las cuentas nuevas creadas por esa vía reciben 100 USD de crédito por seis meses; las existentes se pueden vincular. Menos fricción para fullstacks que hoy pelean con IAM para subir un archivo.
EventBridge Enhanced Custom Event Bus: un backbone de eventos compartido entre cuentas
El nuevo bus se comparte vía Resource Access Manager y trae ordering nativo, retención y replay de 1 a 365 días, deduplicación por contenido en ventana de cinco minutos, un recurso Subscriber para cada consumidor e invocación sincrónica de Lambda. Arquitectónicamente es un cambio de modelo: el equipo de plataforma define el bus y los límites, y cada equipo maneja sus suscripciones, sin cadenas de forwarding entre cuentas. Ojo: la dedupe no reemplaza la idempotencia en tus handlers.
SvelteKit 3.1.0: spans de tracing para +server y hash-reporting en CSP
Con server tracing activo, cada handler +server emite un span sveltekit.endpoint: tus endpoints ya aparecen solos en OpenTelemetry. También soporta las keywords report-sha256/384/512 de CSP y arregla que todo módulo se tratara como server-only si el proyecto vivía dentro de un directorio server.
better-auth 1.7.8: cookies según RFC 6265bis y resets de contraseña que ya no queman el link
Parche cargado de fixes de auth: atributos de cookie alineados con RFC 6265bis, cookies viejas que persistían tras expirar o revocar un customSession, y resets fallidos que consumían el link u OTP antes de guardar la nueva contraseña. Suma SvelteKit 3 al rango de peer deps. Si manejás auth propio, actualizá.
Nx 24.0.0-beta.2: @nx-depends-on, plugin de rolldown y migraciones para agentes
La beta suma @nx-depends-on para declarar dependencias de inputs (también en Jest), un plugin de rolldown con defaults para bundlear apps Node, el orquestador de migraciones como default en corridas manejadas por agentes, y la recolección de stats pasa a ser opt-in por tarea.
Tendencias Destacadas
Las capas de caché y de imágenes son la nueva superficie de RCE: Next.js cayó por serialización de use cache y por sharp. Tratá todo deserializador y procesador de media como input no confiable.
La supply chain de containers sigue siendo el eslabón débil: tres fallas de containerd explotables solo con apuntar a un registry malicioso.
Event-driven a escala organizacional: EventBridge y Lambda durable empujan ordering, replay y sagas largas a servicios gestionados.
CVE-2026-96889: Next.js Image Optimization API RCE via sharp and SVG
A memory bug in the upstream library behind next/image, exploitable without auth on glibc Linux. The range is huge: back to Next 10. If you cannot upgrade today, pin sharp >= 0.35.5 in your lockfile. Any service using sharp directly on user-supplied SVG is in the same boat.
GHSA-673q-mjm6-r5xr: RCE in use cache functions returning typed arrays
Affects App Router with Cache Components in 16.0.0–16.4.0. The trigger is a use cache function returning multiple typed arrays, yet Vercel asks everyone to upgrade even without that pattern. A reminder that cache serialization is attack surface, just like any deserializer.
Node.js 24.22.0 LTS: parsePKCS12(), a generic MAC API and GCM-SIV in crypto
The LTS line gets a big semver-minor batch: crypto.parsePKCS12(), a generic MAC API, SIV and GCM-SIV modes in Cipher/Decipher and cipher/hash discovery from OpenSSL providers. Also, net.BoundSocket can be sent to workers and child processes, and perf_hooks adds SlidingWindowHistogram and meanCI. If you run 24.x in production, this is your next base image.
Prisma 8.0.0-rc.18: raw SQL as sql literals, PSL mixins and whereUnique
Breaking: in PSL, @@index(where:), @@check(expression:) and policies now require a sql literal; a plain string is refused with PSL_VALUE_TYPE_INCOMPATIBLE (the upgrade recipe ships a rewrite script). Also: weighted multi-field full-text indexes, middleware observing each statement and transaction, PSL mixins and firstOrThrow. Read the recipe before bumping: the storage hash changes once.
Valkey two years after the fork: synchronous replication and SSD tiering on the horizon
InfoQ interviewed Valkey maintainers at Open Source Summit Europe. Version 9 already brought numbered databases in cluster mode, atomic slot migration and hash-field expiration. Now under discussion: synchronous replication for durable data and tiering cold data to SSD. Worth tracking if Redis is more than a cache for you.
Lambda durable functions: from 3,000 to 30,000 operations and 1 MB checkpoints
The durable-operation limit per execution grows tenfold and the checkpoint payload goes from 256 KB to 1 MB, matching SQS and EventBridge. In practice: longer loops, longer polling and fuller saga-style rollbacks without splitting a workflow across executions.
Amazon S3 lands on the Vercel Marketplace and v0
General-purpose buckets, S3 Tables (Iceberg) and S3 Vectors can now be provisioned from Vercel. New AWS accounts created this way get USD 100 in credits for six months; existing accounts can be linked. Less IAM friction for fullstack teams.
EventBridge Enhanced Custom Event Bus: a shared cross-account event backbone
The new bus is shared via Resource Access Manager and brings native ordering, retention and replay from 1 to 365 days, content-based dedup in a five-minute window, a Subscriber resource per consumer and synchronous Lambda invocation. Architecturally it changes ownership: the platform team owns the bus and its boundaries, each team owns its subscriptions, and cross-account forwarding chains go away. Dedup still does not replace idempotent handlers.
SvelteKit 3.1.0: tracing spans for +server and CSP hash reporting
With server tracing enabled, every +server handler emits a sveltekit.endpoint span, so endpoints show up in OpenTelemetry for free. It also supports the CSP report-sha256/384/512 keywords and stops treating every module as server-only when the project lives inside a server directory.
better-auth 1.7.8: RFC 6265bis cookies and password resets that no longer burn the link
A patch dense with auth fixes: cookie attributes aligned with RFC 6265bis, stale cookies lingering after a customSession expired or was revoked, and failed resets that consumed the link or OTP before the new password was saved. SvelteKit 3 joins the peer range.
Nx 24.0.0-beta.2: @nx-depends-on, a rolldown plugin and agent-driven migrations
The beta adds @nx-depends-on for declaring input dependencies (Jest included), a rolldown plugin with Node app bundling defaults, the migrate orchestrator as the default for agent-driven runs, and per-task opt-in stat collection.
Notable Trends
Cache and image layers are the new RCE surface: Next.js fell through use cache serialization and sharp. Treat every deserializer and media processor as untrusted input.
The container supply chain remains the weak link: three containerd flaws exploitable just by pulling from a malicious registry.
Event-driven at organizational scale: EventBridge and Lambda durable push ordering, replay and long sagas into managed services.
CVE-2026-96889 : RCE dans l'Image Optimization API de Next.js via sharp et SVG
Un bug mémoire dans la bibliothèque upstream derrière next/image, exploitable sans auth sous Linux glibc. La plage est énorme : depuis Next 10. Si vous ne pouvez pas mettre à jour aujourd'hui, forcez sharp >= 0.35.5 dans le lockfile. Tout service utilisant sharp directement sur des SVG fournis par les utilisateurs est concerné.
GHSA-673q-mjm6-r5xr : RCE dans les fonctions use cache renvoyant des typed arrays
Touche l'App Router avec Cache Components en 16.0.0–16.4.0. Le déclencheur est une fonction use cache renvoyant plusieurs typed arrays, mais Vercel demande à tous de mettre à jour. Rappel : la sérialisation du cache est une surface d'attaque, comme tout désérialiseur.
Node.js 24.22.0 LTS : parsePKCS12(), une API MAC générique et GCM-SIV dans crypto
La ligne LTS reçoit un gros lot semver-minor : crypto.parsePKCS12(), une API MAC générique, les modes SIV et GCM-SIV dans Cipher/Decipher et la découverte de ciphers et hashes depuis les providers OpenSSL. net.BoundSocket peut être envoyé aux workers et child processes, et perf_hooks ajoute SlidingWindowHistogram et meanCI.
Prisma 8.0.0-rc.18 : raw SQL en littéraux sql, mixins PSL et whereUnique
Breaking : en PSL, @@index(where:), @@check(expression:) et les policies exigent un littéral sql ; une simple chaîne est refusée avec PSL_VALUE_TYPE_INCOMPATIBLE (script de réécriture fourni). Aussi : index full-text pondérés multi-champs, middleware observant chaque statement et transaction, mixins PSL et firstOrThrow. Le storage hash change une fois.
Valkey deux ans après le fork : réplication synchrone et tiering SSD à l'horizon
InfoQ a interviewé des mainteneurs de Valkey à l'Open Source Summit Europe. La version 9 a apporté les bases numérotées en cluster mode, la migration atomique de slots et l'expiration par champ de hash. En discussion : réplication synchrone pour les données durables et tiering des données froides vers SSD.
Lambda durable functions : de 3 000 à 30 000 opérations et checkpoints de 1 Mo
La limite d'opérations durables par exécution est multipliée par dix et le payload de checkpoint passe de 256 Ko à 1 Mo, comme SQS et EventBridge. En pratique : boucles plus longues, polling prolongé et rollbacks de type saga plus complets sans découper le workflow.
Amazon S3 arrive sur le Vercel Marketplace et v0
Les buckets standard, S3 Tables (Iceberg) et S3 Vectors se provisionnent désormais depuis Vercel. Les nouveaux comptes AWS créés ainsi reçoivent 100 USD de crédits pour six mois ; les comptes existants peuvent être liés.
EventBridge Enhanced Custom Event Bus : un backbone d'événements partagé entre comptes
Le nouveau bus se partage via Resource Access Manager et apporte l'ordering natif, la rétention et le replay de 1 à 365 jours, la déduplication par contenu sur cinq minutes, une ressource Subscriber par consommateur et l'invocation Lambda synchrone. L'équipe plateforme possède le bus, chaque équipe ses abonnements, sans chaînes de forwarding entre comptes. La déduplication ne remplace pas des handlers idempotents.
SvelteKit 3.1.0 : spans de tracing pour +server et hash reporting CSP
Avec le server tracing activé, chaque handler +server émet un span sveltekit.endpoint : vos endpoints apparaissent dans OpenTelemetry sans effort. Prise en charge aussi des mots-clés CSP report-sha256/384/512.
better-auth 1.7.8 : cookies RFC 6265bis et resets de mot de passe qui ne consomment plus le lien
Un patch riche en correctifs d'auth : attributs de cookie alignés sur RFC 6265bis, cookies périmés après expiration ou révocation d'une customSession, et resets échoués qui consommaient le lien ou l'OTP avant l'enregistrement du nouveau mot de passe.
Nx 24.0.0-beta.2 : @nx-depends-on, plugin rolldown et migrations pilotées par agents
La beta ajoute @nx-depends-on pour déclarer les dépendances d'inputs (Jest compris), un plugin rolldown avec des valeurs par défaut pour les apps Node, l'orchestrateur de migration par défaut pour les exécutions pilotées par agents, et la collecte de stats en opt-in par tâche.
Tendances Notables
Les couches de cache et d'images deviennent la nouvelle surface de RCE : Next.js est tombé via la sérialisation use cache et sharp. Traitez tout désérialiseur et processeur média comme une entrée non fiable.
La supply chain des containers reste le maillon faible : trois failles containerd exploitables en tirant depuis un registry malveillant.
L'event-driven à l'échelle de l'organisation : EventBridge et Lambda durable poussent ordering, replay et sagas longues vers des services managés.