Mantén seguras las versiones de Next.js que están a punto de llegar al final de su vida útil mientras planificas la actualización del marco

No mucho. Next.js lanza nuevas versiones principales aproximadamente una vez al año, centra las correcciones en la versión actual y solo retroporta cambios a versiones principales anteriores de forma selectiva. Al no existir una política de soporte a largo plazo (LTS) publicada, una aplicación de Next.js de hace dos años queda, en la práctica, sin soporte. ELS para Next.js ofrece un compromiso definido de aplicación de parches para las versiones principales que han llegado al final de su vida útil (EOL).

No de forma fiable, y las vulnerabilidades de Next.js suelen ser graves, ya que el marco se sitúa en la intersección entre la ejecución en el servidor, la autenticación y el enrutamiento. El clúster RSC de diciembre de 2025 lo dejó claro: la vulnerabilidad RCE React2Shell (CVE-2025-55182, CVSS 10,0) afectó a Next.js 15.x y 16.x, y los fallos posteriores de denegación de servicio y exposición del código fuente alcanzaron todas las versiones de App Router a partir de la 13.3. Para esas versiones anteriores, la solución propuesta por el desarrollador original fue «actualizar a la versión 14.2.35», no un parche para la versión que se estuviera ejecutando.

Next.js 12.3.7, 13.5.11, 14.2.35 y 16.0.6: versiones de referencia que se corresponden con las líneas de versiones parcheadas de los avisos del RSC de 2025. Hay otras versiones disponibles previa solicitud.

Porque lo que cambia es el marco de trabajo, no solo la biblioteca. Las versiones principales han pasado de Pages Router a App Router, han modificado los valores predeterminados de almacenamiento en caché y revalidación, han rediseñado «next/image» y el middleware, y se han vinculado estrechamente a versiones específicas de React. Una actualización equivale a una reescritura de la aplicación a pequeña escala.

Sí, y aquí es más importante que en ningún otro sitio. Next.js y React son paquetes independientes con requisitos de compatibilidad muy estrictos, y las vulnerabilidades (CVE) de RSC se originaron en el propio React. ELS para React funciona en paralelo con Next.js, de modo que ambas capas se mantienen actualizadas sin romper el acoplamiento entre versiones.

Los paquetes parcheados proceden del registro npm de TuxCare como @els-js/next, con un alias en package.json o configurados mediante el TuxCare Patcher; next build y next start no sufren cambios. TuxCare tiene como objetivo 14 días desde la divulgación para las CVE con CVSS 7,0 o superior, 60 días para las de riesgo medio y 90 días para las de riesgo bajo, con datos SBOM y VEX en cada lanzamiento.