Sorgen Sie für die Sicherheit von Next.js-Versionen, deren Lebensdauer bald endet, während Sie das Upgrade Ihres Frameworks planen

Nicht lange. Next.js veröffentlicht etwa einmal jährlich neue Hauptversionen, konzentriert sich bei der Fehlerbehebung auf die aktuelle Version und führt Backports auf ältere Hauptversionen nur selektiv durch. Da es keine veröffentlichte LTS-Richtlinie gibt, wird eine zwei Jahre alte Next.js-Anwendung praktisch nicht mehr unterstützt. ELS für Next.js bietet für EOL-Hauptversionen eine festgelegte Verpflichtung zur Bereitstellung von Patches.

Nicht zuverlässig – und die Schwachstellen in Next.js sind besonders schwerwiegend, da das Framework an der Schnittstelle zwischen Serverausführung, Authentifizierung und Routing angesiedelt ist. Der RSC-Cluster vom Dezember 2025 verdeutlichte dies: Die React2Shell-RCE-Schwachstelle (CVE-2025-55182, CVSS 10,0) betraf Next.js 15.x und 16.x, und die darauf folgenden Denial-of-Service- sowie Quellcode-Enthüllungslücken betrafen alle App-Router-Versionen ab 13.3. Für diese älteren Versionen lautete die Abhilfe seitens Upstream „Upgrade auf 14.2.35“ – es gab keinen Patch für die von Ihnen verwendete Version.

Next.js 12.3.7, 13.5.11, 14.2.35 und 16.0.6 – Basisversionen, die den gepatchten Release-Reihen aus den RSC-Hinweisen für 2025 entsprechen. Weitere Versionen sind auf Anfrage erhältlich.

Denn nicht nur die Bibliothek, sondern das gesamte Framework hat sich verändert. Bei den Hauptversionen wurde der „Pages Router“ durch den „App Router“ ersetzt, die Standardwerte für Caching und Revalidierung wurden geändert, die Funktionen „next/image“ und die Middleware wurden überarbeitet, und das Framework ist nun eng an bestimmte React-Versionen gekoppelt. Ein Upgrade kommt einer Neuprogrammierung der Anwendung im Kleinen gleich.

Ja, und hier spielt das eine größere Rolle als anderswo. Next.js und React sind separate Pakete mit strengen Kompatibilitätsanforderungen, und die RSC-CVEs haben ihren Ursprung in React selbst. ELS für React läuft parallel zu Next.js, sodass beide Schichten auf dem neuesten Stand bleiben, ohne die Versionskopplung zu beeinträchtigen.

Die gepatchten Pakete stammen aus der npm-Registry von TuxCare als @els-js/next, werden in der Datei „package.json“ als Alias hinterlegt oder über den TuxCare Patcher konfiguriert; „next build“ und „next start“ bleiben unverändert. TuxCare strebt bei CVEs mit einem CVSS-Wert von 7,0 oder höher eine Reaktionszeit von 14 Tagen ab Bekanntgabe an, bei mittlerem Schweregrad 60 Tage und bei geringem Schweregrad 90 Tage, wobei für jede Version SBOM- und VEX-Daten bereitgestellt werden.