Mantenha as versões do Next.js que estão chegando ao fim da vida útil (EOL) protegidas enquanto planeja a atualização do seu framework

Não por muito tempo. O Next.js lança novas versões principais aproximadamente uma vez por ano, concentra as correções na versão atual e faz o backport para versões principais mais antigas apenas de forma seletiva. Sem uma política de suporte de longo prazo (LTS) publicada, um aplicativo Next.js com dois anos de idade fica, na prática, sem suporte. O ELS para Next.js oferece um compromisso definido de correções para versões principais que chegaram ao fim da vida útil (EOL).

Não de forma confiável — e as vulnerabilidades do Next.js tendem a ser graves, pois o framework se situa na interseção entre a execução no servidor, a autenticação e o roteamento. O cluster RSC de dezembro de 2025 deixou isso claro: a vulnerabilidade RCE React2Shell (CVE-2025-55182, CVSS 10,0) afetou o Next.js 15.x e 16.x, e as falhas subsequentes de negação de serviço e exposição do código-fonte atingiram todas as versões do App Router a partir da 13.3. Para essas versões mais antigas, a correção sugerida pelo desenvolvedor original foi “atualizar para a versão 14.2.35”, e não um patch específico para a versão que você utiliza.

Next.js 12.3.7, 13.5.11, 14.2.35 e 16.0.6 — versões de referência que correspondem às linhas de lançamento corrigidas dos alertas do RSC de 2025. Outras versões estão disponíveis mediante solicitação.

Porque é a estrutura que muda, não apenas a biblioteca. As versões principais passaram do Pages Router para o App Router, alteraram as configurações padrão de cache e revalidação, reformularam os componentes `next/image` e o middleware, e passaram a estar fortemente vinculadas a versões específicas do React. Uma atualização equivale a uma reescrita da aplicação em miniatura.

Sim, e isso é mais importante aqui do que em qualquer outro lugar. O Next.js e o React são pacotes distintos com requisitos rigorosos de compatibilidade, e as vulnerabilidades (CVEs) do RSC tiveram origem no próprio React. O ELS para React funciona em conjunto com o Next.js, de modo que ambas as camadas permaneçam atualizadas sem comprometer o acoplamento de versões.

Os pacotes corrigidos são fornecidos pelo registro npm da TuxCare como @els-js/next, com alias definido no arquivo package.json ou configurado pelo TuxCare Patcher; os comandos `next build` e `next start` permanecem inalterados. A TuxCare tem como meta 14 dias a partir da divulgação para CVEs com pontuação CVSS 7,0 ou superior, 60 dias para os de risco médio e 90 dias para os de risco baixo, com dados de SBOM e VEX em cada versão.