Next.js passe aux correctifs de sécurité annoncés à l'avance : ce que ça change
Next.js publie désormais ses correctifs de sécurité à date annoncée. Le premier, le 21 juillet, corrige neuf failles. Ce que ça change pour la maintenance de vos sites.
Next.js est l'un des cadres de développement web les plus utilisés au monde : beaucoup de sites marchands, d'extranets et d'applications web reposent dessus, y compris le site que vous lisez. Le 13 juillet, ses développeurs ont annoncé un changement de méthode : les correctifs de sécurité seront désormais annoncés à l'avance et publiés à date fixe, environ une fois par mois. Le premier est sorti cette semaine et corrige neuf failles. Pour une entreprise, c'est une bonne nouvelle à une condition : que quelqu'un soit là pour appliquer les correctifs.
Ce qui a changé
Jusqu'ici, l'équipe de Next.js publiait ses correctifs de sécurité au fil de l'eau, sans préavis. Dans son annonce du 13 juillet, elle explique que ces publications surprises perturbaient les équipes, et adopte un modèle désormais courant dans les grands projets open source :
- environ une fois par mois, un avis préalable est publié sur le blog de Next.js, avec la date prévue et la gravité maximale des failles concernées ;
- ce délai permet aux équipes de planifier la mise à jour, et aux hébergeurs de préparer des protections temporaires (règles de pare-feu) pour les sites pas encore mis à jour ;
- les failles urgentes ou déjà exploitées continueront d'être corrigées sans attendre.
L'équipe justifie ce changement par la hausse rapide du nombre de failles découvertes dans l'ensemble du secteur, portée par la recherche assistée par l'IA. Elle cite un exemple frappant : Mozilla a récemment publié 271 failles corrigées dans une seule version de Firefox, toutes découvertes par le modèle Mythos Preview d'Anthropic.
Le correctif de juillet
Prévu le 21 juillet, il corrige neuf failles : quatre de gravité élevée et cinq de gravité moyenne. Les versions corrigées sont 16.2.11 et 15.5.21. Parmi les failles décrites dans l'avis :
- un déni de service sur les applications qui utilisent les « Server Actions », qui peut saturer le serveur ;
- un contournement du middleware (la couche qui vérifie souvent l'authentification) dans une configuration particulière ;
- deux cas où le serveur peut être amené à envoyer des requêtes vers un hôte choisi par l'attaquant ;
- des confusions de cache qui peuvent renvoyer la réponse destinée à une autre requête.
L'hébergeur Netlify, dans son analyse, précise que les versions mineures plus anciennes des branches 15 et 16 ne sont pas corrigées : il faut passer à une version corrigée. Les sites encore sur les branches 13 ou 14 doivent migrer. Netlify recommande aussi de supprimer les anciennes versions de prévisualisation publiques, qui restent vulnérables tant qu'elles existent.
Ce que ça change pour vous
La sécurité devient planifiable. Un correctif annoncé une semaine à l'avance peut être intégré dans un créneau prévu, testé, puis déployé sans urgence. C'est exactement ce dont une PME a besoin.
Mais le rythme s'accélère. Un correctif par mois, c'est douze mises à jour par an, pour un seul composant. Ajoutez Node.js, les autres dépendances, les plateformes mobiles : un site ou une application web demande désormais un suivi régulier, pas une intervention par an.
Les versions anciennes sont abandonnées plus vite. Seules les branches maintenues reçoivent des correctifs. Un site resté plusieurs versions en arrière n'est plus protégé, et la mise à niveau devient un chantier au lieu d'une routine.
Les questions à poser à votre prestataire
- Sur quelle version de Next.js (ou de votre cadre de développement) tourne notre site ? Est-elle encore maintenue ?
- Qui surveille les avis de sécurité, et dans quel délai le correctif est-il appliqué ?
- Comment les mises à jour sont-elles testées avant d'être mises en ligne ?
- Les anciennes versions de prévisualisation sont-elles supprimées ?
Ce suivi, c'est le cœur d'un contrat de maintenance : surveiller, planifier, tester, déployer. Nous l'appliquons aux logiciels et sites que nous développons, avec une réponse sous 24 heures ouvrées, et les prix de la maintenance sont affichés sur la page Tarifs. La semaine dernière, nous parlions d'un autre changement du même ordre, npm 12 et ses scripts bloqués. Si vous ne savez pas qui applique ces correctifs sur votre site, un rendez-vous de 30 minutes permet de faire le point.
À relire sur le même sujet : React2Shell : la faille critique qui touche React et Next.js.