Next.js Support Policy erklärt: Active LTS, Maintenance LTS und was nach dem 21.10.2026 für Version 15 gilt

Ein Entwickler öffnet die Abhängigkeitsliste eines Kundenprojekts und sieht: "next": "^15.3.0". Kein Alarm, keine rote Warnung, kein automatischer Hinweis im Build. Auf den ersten Blick läuft alles. Und doch ist genau ab dem 21. Oktober 2026 — einem Mittwoch — die Situation eine andere als noch eine Woche zuvor: Die Maintenance-Phase von Next.js endet nach der offiziellen Support-Policy zwei Jahre nach dem Erstrelease von Version 15. Neue Sicherheitsupdates sind laut Policy nicht mehr zugesagt.

Wer das nicht weiß, handelt nicht fahrlässig — die Policy ist sachlich formuliert, aber nicht besonders prominent platziert. Wer es weiß, kann bewusst entscheiden: weiterbetreiben mit bekanntem Risiko, oder upgraden. Dieser Artikel erklärt, was die Next.js Support Policy konkret zusagt, wie die Begriffe „Active LTS" und „Maintenance LTS" zu verstehen sind, und was das für Projekte bedeutet, die heute noch auf Version 15 laufen.

---

Was die Next.js Support Policy tatsächlich zusagt

Die offizielle Support-Policy unter nextjs.org/support-policy ist kurz. Sie legt fest, dass zu jedem Zeitpunkt zwei Major-Versionen aktiv unterstützt werden: die aktuelle und die vorherige. Für jede dieser Versionen gibt es zwei aufeinanderfolgende Phasen.

Active LTS: die laufend gepflegte Version

Solange eine Major-Version die aktuellste ist, befindet sie sich in Active LTS. In dieser Phase erhält sie neue Features, reguläre Bugfixes, Performance-Verbesserungen und Security-Patches. Active LTS endet nicht nach einem festen Datum, sondern dann, wenn die nächste Major-Version veröffentlicht wird. Ab diesem Moment übernimmt die neue Version die Active-LTS-Rolle.

Zum Stand 23. Oktober 2026 ist das Next.js 16: erschienen am 21. Oktober 2025 (Blogpost-Datum), in der npm-Registry mit Zeitstempel 22. Oktober 2025, 00:12 UTC — eine Tagesabweichung, die auf die Zeitzone zurückzuführen ist und keine inhaltliche Bedeutung hat. Die aktuelle stabile Version ist 16.4.2 (veröffentlicht 15. Oktober 2026).

Maintenance LTS: eingeschränkter Schutz für die Vorgängerversion

Sobald eine neue Major-Version erscheint, wechselt die bisherige aktuelle Version in den Status Maintenance LTS. Die Policy sagt für diese Phase ausschließlich „critical bug fixes and essential security updates" zu — keine neuen Features, keine allgemeinen Bugfixes, keine Performance-Verbesserungen. Die Dauer: zwei Jahre ab dem Erstrelease der jeweiligen Major-Version.

Ein Detail, das in der Praxis Konsequenzen hat: Updates, die im Maintenance-LTS-Zeitraum erscheinen, werden als semver-minor veröffentlicht — auch dann, wenn sie Breaking Changes enthalten. Das steht so explizit in der Policy. Wer ^15.0.0 im package.json hat und npm update ausführt, bekommt diese Updates automatisch eingespielt, ohne dass ein Major-Versionssprung signalisiert wird.

Was „LTS" bei Next.js nicht bedeutet

Der Begriff LTS (Long-Term Support) ist aus dem Node.js-Ökosystem bekannt, wo er mehrjährige Supportzyklen beschreibt. Bei Next.js ist das anders. LTS bezeichnet keine eigene, langfristig garantierte Supportlinie, sondern lediglich die zwei beschriebenen Phasen innerhalb des normalen Release-Zyklus. Es gibt keine dritte Kategorie, kein Extended Support, kein separates Sicherheits-Repository für ältere Versionen.

Die Policy enthält einen Hinweis auf eine Ausnahme: „In rare circumstances, depending on the severity of the underlying bug, we will patch versions of Next.js that are outside of our LTS policy." Das ist eine Kann-Formulierung, kein Versprechen.

---

Der aktuelle Stand: welche Versionen unterstützt sind

Major-Version	Erstrelease	Status (Stand 23.10.2026)	Maintenance-Ende
16.x	21.10.2025	Active LTS	bis zur nächsten Major
15.x	21.10.2024	Maintenance LTS (abgelaufen)	21.10.2026
14.x	26.10.2023	Unsupported	–
13.x und älter	–	Unsupported	–

Next.js 14.x ist bereits unsupported. Wer heute noch auf 14.x betreibt, erhält laut Policy keine Sicherheitsupdates mehr — und das ist schon seit Oktober 2025 der Fall.

Next.js 15.x: Die Maintenance-Phase endet nach der Policy-Formel zwei Jahre nach dem Erstrelease, also am 21. Oktober 2026. Die letzte veröffentlichte 15.x-Version ist 15.5.28 vom 14. Oktober 2026. Bis zum 23. Oktober 2026 erschien kein weiterer Backport.

Wichtig: Die Policy-Seite selbst nennt das End-Datum nicht ausdrücklich. Sie führt 15.x am 23. Oktober 2026 weiterhin unter „Supported versions" mit Status „Maintenance LTS". Der Drittanbieter endoflife.date listet das Security-Support-Ende für Version 15 mit dem 21. Oktober 2026. Ein offizieller Blogpost oder eine Advisory-Meldung von Vercel, die das Ende von Next.js 15 ausdrücklich verkündet, existierte bis zum Redaktionsschluss nicht. Der korrekte Terminus laut Policy ist auch nicht „End of Life", sondern „Ende der Maintenance-LTS-Phase" — danach fallen Versionen in die Kategorie „Unsupported versions".

---

Warum die Maintenance-LTS-Phase praktisch wichtig ist — ein hypothetisches Beispiel

Stellen Sie sich vor, ein Unternehmen betreibt eine öffentlich zugängliche Web-App auf Basis von Next.js 15.5.28. Gegen alle bis zum 14. Oktober 2026 bekannten Sicherheitslücken ist diese Version gepatcht — das ist der Stand der letzten 15.x-Veröffentlichung.

Was passiert ab dem 22. Oktober 2026, wenn eine neue Schwachstelle in der Image Optimization API oder im App Router entdeckt wird? Laut Policy ist kein Patch für 15.x mehr zugesagt. Version 16.x würde das Fix erhalten, 15.x theoretisch nicht — es sei denn, Vercel entscheidet sich im Einzelfall für einen außerplanmäßigen Backport, was die Policy als seltene Ausnahme erlaubt, aber nicht garantiert.

In der Praxis bedeutet das: Das Risiko ist nicht sofort sichtbar. Es gibt kein Ablaufdatum im Browser, keine Fehlermeldung im Terminal. Der Betrieb läuft weiter. Aber der Schutz, den laufende Sicherheitsupdates liefern, ist nicht mehr zugesagt.

Wie häufig Sicherheitslücken in Next.js auftreten, zeigen die GitHub Security Advisories der letzten Monate: Im Zeitraum Mai bis Oktober 2026 gab es Security-Releases in nahezu jedem Monat, darunter zwei Out-of-Band-Releases (22. September und 14. Oktober 2026). Kritische Lücken betrafen unter anderem Remote Code Execution in der Image Optimization API bei SVG- und AVIF-Dateien sowie Denial-of-Service-Schwachstellen im App Router. Alle diese Lücken wurden in 15.5.x noch gepatcht — aber die Frequenz zeigt, dass Next.js-Projekte regelmäßig von Sicherheitsupdates abhängig sind.

---

Was mit Next.js 16 neu zu beachten ist

Next.js 16 ist die aktuelle Active-LTS-Version. Wer ein Upgrade von 15 auf 16 plant, sollte den offiziellen Upgrade-Guide (Stand 15. Oktober 2026) kennen, da Version 16 mehrere Breaking Changes mitbringt, die eine Migration nicht trivial machen.

Die wichtigsten Anforderungen und Änderungen:

• Node.js-Mindestversion: 20.9.0 — Node.js 18 wird nicht mehr unterstützt.
• TypeScript-Mindestversion: 5.1.0.
• Turbopack ist jetzt Standard für next dev und next build. Bestehende webpack-Konfigurationen lassen den Build fehlschlagen. Ausweg: --webpack-Flag oder explizit --turbopack.
• Async-only APIs: Synchroner Zugriff auf cookies(), headers(), draftMode(), params und searchParams ist vollständig entfernt. Betroffen sind auch die Props von opengraph-image, twitter-image, icon und apple-icon.
• Middleware → Proxy: Die middleware-Datei und der zugehörige Export sind deprecated; proxy ist der neue Name. proxy läuft nur auf Node.js, nicht auf der Edge Runtime.
• next lint entfernt: Der Befehl wurde aus Next.js entfernt. next build lintet nicht mehr. ESLint Flat Config ist jetzt Standard.
• Serverless-Konfigurationen entfernt: serverRuntimeConfig und publicRuntimeConfig fallen weg; Umgebungsvariablen übernehmen deren Aufgabe.
• AMP-Support entfernt.
• next/image-Defaults geändert: minimumCacheTTL steigt von 60 Sekunden auf 4 Stunden, qualities enthält standardmäßig nur noch [75], und lokale IPs werden blockiert.

Für die automatisierte Migration stellt Vercel Codemods bereit:

npx @next/codemod@canary upgrade latest

Dieser Codemod übernimmt mehrere Transformationen: er stellt next.config auf Turbopack um, migriert next lint auf die ESLint-CLI, benennt middleware in proxy um und entfernt unstable_-Präfixe. Für den Wechsel zu asynchronen Request-APIs gibt es einen separaten Codemod:

npx @next/codemod@canary next-async-request-api .

Die Codemods decken den häufigsten Anpassungsbedarf ab, ersetzen aber keine projektspezifische Prüfung — insbesondere bei Projekten mit umfangreichen Webpack-Plugins, Middleware-Logik oder Custom-Servern ist manueller Nachaufwand realistisch einzukalkulieren.

---

Was offen bleibt — und warum das relevant ist

Einige Punkte lassen sich zum Stand 23. Oktober 2026 nicht abschließend beantworten:

Kein offizieller Vercel-Hinweis zum Ende von Next.js 15. Weder der Blog-Index noch Release-Notes noch eine Security-Advisory enthalten eine explizite Ankündigung, dass Next.js 15 am 21. Oktober 2026 seinen Support verliert. Das ist ungewöhnlich, aber kein Widerspruch zur Policy — die Policy gibt das Datum rechnerisch vor.

Kein weiterer 15.x-Backport bis 23. Oktober 2026. Ob Vercel nach dem 21. Oktober 2026 noch einen Patch für 15.x veröffentlicht, war zum Redaktionsschluss offen. Die Policy erlaubt es als Ausnahme; ein Anspruch besteht nicht.

React-Mindestversion für Next.js 16 nicht hart definiert. Der Upgrade-Guide empfiehlt die neueste React-Version (19.2 für App-Router-Features), die peerDependencies von next@16.4.2 erlauben react ^18.2.0 || ^19.0.0. Ob der App Router mit React 18 vollständig unterstützt wird, ist nicht ausdrücklich verifiziert — die Peer-Range erlaubt es, aber der App Router bringt eigene React-Canary-Features mit.

---

Policy vs. Realität: Wo der Unterschied liegt

Die Support-Policy beschreibt, was Vercel zusagt. Was tatsächlich passiert, kann davon abweichen — in beide Richtungen. Vercel hat in der Vergangenheit auch außerplanmäßige Backports veröffentlicht. Umgekehrt bedeutet „supported" nicht, dass alle möglichen Lücken erkannt und gepatcht werden — auch in Active-LTS-Versionen gibt es Fenster zwischen Entdeckung und Patch.

Für Unternehmen, die Projekte auf Basis von Next.js betreiben, ergibt sich daraus eine klare Fragestellung: Welche Version läuft produktiv, in welcher Phase befindet sie sich, und welches Restrisiko ist akzeptabel? Diese Einschätzung lässt sich nur projektspezifisch treffen — abhängig von der Exponiertheit der Anwendung, dem Deployment-Modell (Vercel-Hosting, Self-hosted, Edge) und dem internen Update-Prozess.

Projekte, die wir bei SW Business Solutions entwickeln und betreuen — darunter die Buchungsplattform für MobiKart Funracing GmbH und die Marketing- und Booking-Website für HPS Pitbike — laufen auf Next.js-Basis und werden im Rahmen laufender Betreuung auf den aktuellen Support-Status geprüft. Das heißt konkret: Versionsstatus, offene Advisories und Policy-Änderungen fließen in die reguläre Wartungsplanung ein.

---

Was dieser Artikel nicht behandelt — und warum das eine bewusste Entscheidung ist

Dieser Artikel erklärt die Policy und ihre Begriffe. Er ist bewusst kein Upgrade-Leitfaden und kein Handlungsplan für spezifische Projektkonstellationen. Was hier nicht steht:

• Wie Sie systematisch prüfen, welche Ihrer Projekte auf welcher Next.js-Version laufen
• Wie Sie den Upgrade-Aufwand von 15 auf 16 für ein konkretes Projekt einschätzen
• Welche Risiken bei verschiedenen Deployment-Szenarien unterschiedlich zu gewichten sind

Diese Fragen beantwortet ein separater Artikel dieser Serie: Was das Support-Ende von Next.js 15 für Unternehmen bedeutet — dort geht es um die konkrete Handlungsebene für Betreiber betroffener Projekte.

Wer lieber direkt prüfen möchte, welchen Support-Status die eigenen Next.js-Projekte heute haben, kann das mit uns klären. SW Business Solutions ordnet im Rahmen einer Erstprüfung jede eingesetzte Version der aktuellen Policy zu und benennt den Handlungsbedarf — ohne vorausgehenden Auftrag, ohne Formular-Marathon. Ein Erstgespräch genügt.

---

Zusammenfassung: Die Next.js Support Policy in fünf Punkten

• Zwei Versionen werden aktiv unterstützt: die aktuelle (Active LTS) und die vorherige (Maintenance LTS).
• Active LTS liefert Features, Bugfixes, Performance und Security-Patches — bis zur nächsten Major-Version.
• Maintenance LTS liefert nur kritische Bugfixes und essentielle Sicherheitsupdates — für zwei Jahre ab Erstrelease.
• Maintenance-LTS-Updates erscheinen als semver-minor, auch wenn sie Breaking Changes enthalten.
• Next.js 15 hat seine Maintenance-Phase am 21. Oktober 2026 abgeschlossen. Next.js 16 ist Active LTS. Next.js 14 und älter sind unsupported.

Wer heute auf Next.js 15.5.28 steht, ist gegen alle bis zum 14. Oktober 2026 bekannten Schwachstellen geschützt — aber nicht gegen künftige. Wer auf 14.x oder älter betreibt, hat keinen zugesagten Sicherheitssupport mehr, und das gilt seit Oktober 2025.

Die Policy ist eindeutig. Was sie für das eigene Projekt bedeutet, hängt vom Einzelfall ab.