Nowości web dev: RCE w React i Next.js, fast mode Opus 5.5

Najważniejsze nowości web dev tego tygodnia to łatki bezpieczeństwa: 14 października 2026 React wydał 19.0.9, 19.1.10, 19.2.9 i 19.3.1, które usuwają krytyczne zdalne wykonanie kodu (RCE) w React Server Components, a Next.js wydał 16.4.1 i 15.5.28 na trzy własne komunikaty, w tym dwa krytyczne. Zanim zajmiesz się czymkolwiek innym z tej listy, zaktualizuj Next.js do 16.4.2 (albo 15.5.28) i React do łatki ze swojej linii. Po stronie Claude fast mode dla Claude Opus 5.5 wyszedł 15 października z research preview, a tego samego dnia Python na Vercel stał się ogólnie dostępny. Zespół Next.js pokazał też, jak v0 powstrzymał Partial Prefetching przed mnożeniem zapytań, czyli kompromis, który zmierzyliśmy w naszym benchmarku prefetchu w Next.js.

Pozycja	Wersja lub data	Co zrobić
Komunikaty React Server Components	19.0.9 do 19.3.1	Aktualizuj od razu, jeśli jakikolwiek kod React działa na serwerze
Wydanie bezpieczeństwa Next.js	16.4.1, 15.5.28	Aktualizuj od razu; obejście ma tylko RCE w obrazach
Łatka Next.js	16.4.2, 15 paź	Weź razem z poprawkami bezpieczeństwa
Partial Prefetching w v0	16 paź	Przeczytaj, zanim włączysz prefetch w dużych siatkach
Python na Vercel	GA, 15 paź	Backend w Pythonie może być w jednym projekcie z frontendem
Indeks produkcyjny AI Gateway	15 paź	Modele open-weight niosą większość tokenów, nie wydatków
Fast mode w Claude Opus 5.5	poza preview	Nagłówek beta już zbędny; włącz, gdzie liczy się szybkość odpowiedzi
Compliance API: preferencje członków	beta, 15 paź	Administratorzy Enterprise mogą sprawdzić zapisane instrukcje
Claude Code	2.1.299 do 2.1.302	Sprawdź uruchomienia bez interfejsu i reguły MCP
Kontrola wersji w Anthropic	13 paź	Lektura o obciążeniu gita przez agentów; nic do instalowania

Next.js i React

React 19.0.9 do 19.3.1: krytyczne RCE w Server Components

Wszystkie cztery linie Reacta dostały 14 października 2026 łatkę z jedną zmianą w React Server Components, „Improve transport protocol” (wydania 19.0.9 (otwiera się w nowej karcie), 19.1.10 (otwiera się w nowej karcie), 19.2.9 (otwiera się w nowej karcie) i 19.3.1 (otwiera się w nowej karcie)). Powód podają dwa komunikaty z tego samego dnia: krytyczne (CVSS 9,5) zdalne wykonanie kodu bez uwierzytelnienia (otwiera się w nowej karcie) (GHSA-xqc2-xf4c-x3h3) w react-server-dom-webpack, -turbopack i -parcel od 19.0.0 do 19.3.0, oraz odmowa usługi (DoS) (otwiera się w nowej karcie) w Server Functions o wysokiej wadze (GHSA-h3gv-c5rc-p453). Według komunikatu RCE wymaga „skrajnie rzadkich przypadków”, w których odpowiedź przenosi kilka tablic typowanych i wartość kontrolowaną przez atakującego, a mimo to zaleca natychmiastową aktualizację.

Nasze zdanie: rzadkie warunki to nie powód, by czekać, skoro poprawka to wydanie łatkowe. Jeśli Twój React działa tylko w przeglądarce, problem Cię nie dotyczy; wszystko, co używa Server Components albo Server Functions, przenieś dziś na łatkę ze swojej linii.

Next.js 16.4.1 i 16.4.2: trzy komunikaty, potem łatka

Next.js 16.4.1 (otwiera się w nowej karcie) i 15.5.28 (otwiera się w nowej karcie) wyszły 14 października 2026 z poprawkami do trzech komunikatów; 15.5.28 zawiera dwie z nich, te, które dotyczą linii 15.x. GHSA-673q-mjm6-r5xr (otwiera się w nowej karcie) to krytyczne RCE w aplikacjach z Cache Components, w których funkcja z use cache zwraca kilka tablic typowanych (16.0.0 do 16.4.0). GHSA-2464-fhr4-w9xw (otwiera się w nowej karcie) to krytyczne RCE w Image Optimization API przy plikach SVG, przez zewnętrzną bibliotekę, na Linuksie z glibc (10.0.0 do 15.5.27 i 16.0.0 do 16.4.0); obejście to upewnienie się, że Next.js używa sharp 0.35.5 lub nowszego. GHSA-p3m5-59mp-jv5r (otwiera się w nowej karcie) to odmowa usługi o wysokiej wadze w każdej aplikacji na App Routerze z co najmniej jedną Server Action, bez obejścia poza aktualizacją.

Dzień później, 15 października, wyszedł Next.js 16.4.2 (otwiera się w nowej karcie) z ośmioma przeniesionymi zmianami, głównie poprawkami Turbopacka i turbo-tasks (garbage collection, kolizje chunków przy leniwym dynamicznym imporcie, błędy realpath przy rozwiązywaniu modułów, spójność snapshotów), do tego poprawkami Pages Routera w trybie dev i dokumentacji. Żadna z nich nie jest poprawką bezpieczeństwa.

Nasze zdanie: przejdź od razu na 16.4.2, które zawiera poprawki z 16.4.1, i przy okazji sprawdź sharp w lockfile. Komunikat o use cache zaleca aktualizację nawet wtedy, gdy żadna Twoja funkcja nie zwraca tablic typowanych.

Partial Prefetching w v0 i Skill z Next.js 16.4

16 października 2026 zespół Next.js opisał, jak v0 poprawił nawigację dzięki Next.js 16.4 (otwiera się w nowej karcie): agent z nowym Skillem next-partial-prefetching-optimizer pisał test Playwright z instant() dla każdej nawigacji, a potem przebudowywał kod z 'use cache: remote', 'use cache: private' i nowym API navigation(), aż test przechodził. Pierwsze wdrożenie zwiększyło liczbę zapytań prefetch do /templates/[id] 2,9 raza; naprawili to, uruchamiając pełniejszy prefetch karty dopiero po najechaniu, fokusie albo dotyku. Po wszystkich zmianach dzienny koszt był o 2,9% niższy, przy wydatkach na Runtime Cache 4,3 raza wyższych niż wcześniej; ruch w tym czasie się zmieniał, więc zespół czyta to jako „nie drożej”, a nie jako oszczędność. Wpis podaje też, że od 16.4 create-next-app domyślnie włącza Cache Components i Partial Prefetching.

Nasze zdanie: warto zapamiętać skok 2,9 raza. prefetch={true} na każdej karcie dużej siatki kosztuje zapytania, co zgadza się z tym, co widzieliśmy w naszym własnym pomiarze na stronach z wieloma linkami; tam pobieraj z wyprzedzeniem dopiero po sygnale zamiaru i trzymaj test instant() w CI.

Vercel

Python na Vercel jest ogólnie dostępny

Python na Vercel stał się ogólnie dostępny (otwiera się w nowej karcie) 15 października 2026. Działa na CPythonie na Linuksie w Fluid compute, rozpoznaje FastAPI, Flask, Django i FastHTML oraz czyta pliki zależności, także te zarządzane przez uv. Vercel Services łączy backend w Pythonie i frontend w jednym projekcie, a vercel dev uruchamia oba lokalnie. Vercel Daemons (otwiera się w nowej karcie), do długo działających procesów, takich jak konsumenci kolejek, wszedł tego samego dnia w publiczną betę.

Nasze zdanie: serwis w FastAPI obok aplikacji Next.js nie potrzebuje już drugiego hostingu, a oba dzielą podglądy. Kolejki i wszystko, co musi działać bez przerwy, są wciąż na becie, więc zostaw je tam, gdzie działają dziś.

Indeks produkcyjny AI Gateway: open weight to 71,5% tokenów i 23% wydatków

Indeks produkcyjny AI Gateway za październik 2026 (otwiera się w nowej karcie), opublikowany przez Vercel 15 października, podaje, że modele open-weight przetworzyły we wrześniu 71,5% tokenów w bramce i odpowiadały za 23% wydatków liczonych według cen katalogowych. Udział Anthropic w wydatkach po raz pierwszy spadł poniżej połowy, do 43,9%, a średnia cena za token była o 47% niższa niż w grudniu.

Nasze zdanie: tokeny i pieniądze mówią co innego. Taki podział sugeruje, że zespoły wysyłają masową pracę do tanich modeli open-weight, a płacą za modele czołowe tam, gdzie decyduje jakość; jeśli cały Twój ruch idzie do jednego modelu, warto ten podział przetestować.

Claude

Fast mode w Claude Opus 5.5 wyszedł z research preview

Od 15 października 2026, według informacji o wydaniach Claude (otwiera się w nowej karcie), fast mode (otwiera się w nowej karcie) w Claude Opus 5.5 nie wymaga prośby o dostęp ani nagłówka beta fast-mode-2026-02-01 i ma domyślny limit w progach Start, Build i Scale. Włącza się go przez speed: "fast" w zapytaniu; daje do 2,5 raza więcej tokenów wyjściowych na sekundę, ale nie szybszy pierwszy token, za 8 USD za milion tokenów wejściowych i 40 USD za milion wyjściowych. Zmiana szybkości oznacza chybienie w prompt cache, a fast mode nie działa z Batch API, zobowiązaniem Priority Tier ani na Claude Platform on AWS. Fast mode dla Opus 5 i Opus 4.8 zostaje w research preview, z nagłówkiem. Tego samego dnia trafił do Claude in Microsoft Foundry dla wdrożeń hostowanych na Azure.

Nasze zdanie: używaj go tam, gdzie człowiek patrzy na strumień odpowiedzi, jak w agencie do kodu czy czacie, i trzymaj jedną rozmowę na jednej szybkości, żeby cache działał. Pole usage.speed w odpowiedzi mówi, z jaką szybkością obsłużono zapytanie.

Compliance API zwraca zapisane instrukcje członków

Także 15 października Compliance API (otwiera się w nowej karcie) zaczęło zwracać to, co każdy członek organizacji zapisał jako Instructions for Claude w claude.ai i jako Global instructions w Cowork, w becie dla Claude Enterprise: GET /v1/compliance/organizations/{org_uuid}/user_preferences z zakresem read:compliance_user_data.

Nasze zdanie: zapisane instrukcje potrafią zawierać nazwy klientów i wewnętrzne zasady. Zespoły z obowiązkiem audytu mają teraz jak je zobaczyć, a członkowie powinni wiedzieć, że administratorzy to mogą.

Claude Code 2.1.299 do 2.1.302

Między 14 a 16 października 2026 wyszły cztery wydania: 2.1.299, 2.1.300 (otwiera się w nowej karcie), 2.1.301 (otwiera się w nowej karcie) i 2.1.302. 2.1.299 (otwiera się w nowej karcie) dodało idle compaction (rozmowa powyżej 200 tys. tokenów pozostawiona bez ruchu na około 54 minuty jest kompaktowana, zanim wygaśnie jej godzinny prompt cache; "idleCompaction": false to wyłącza) i sprawiło, że reguły zezwoleń MCP pasują tylko do serwera, który nazywają, więc mcp__a nie zezwala już na serwer o nazwie a__b. 2.1.302 (otwiera się w nowej karcie) uruchamia sesje claude -p i Agent SDK bez trybu uprawnień w trybie default u zewnętrznych dostawców, gdy telemetria jest wyłączona albo instalacja jest świeża, i domyślnie włącza też, u każdego dostawcy, fork subagents w claude -p, Agent SDK, aplikacji desktopowej i VS Code, tak jak już były w terminalu (CLAUDE_CODE_FORK_SUBAGENT=0 je wyłącza).

Nasze zdanie: jeśli uruchamiasz Claude Code bez interfejsu w CI, przypnij wersję i podawaj --permission-mode jawnie, a reguły MCP pisane krótkim prefiksem przepisz na mcp__<server>__*.

Nowa kontrola wersji w Anthropic

13 października 2026 Anthropic opisał, dlaczego zastąpił gita w swoim monorepo (otwiera się w nowej karcie) (aktualizacja 15 października): dzienna liczba scaleń wzrosła z około 2 500 w maju 2026 do ponad 30 000 we wrześniu, przy około 25 milionach checkoutów CI dziennie. Siedmioosobowy zespół zbudował Scion, system kontroli wersji zaprojektowany dla agentów, które zawsze są online, i przeniósł monorepo w pięć miesięcy; Anthropic pisze, że Scion „w żadnym razie nie zastąpi gita do ogólnego użytku”.

Nasze zdanie: nie ma czego instalować, bo Scion jest wewnętrzny. To miara tego, dokąd zmierzają repozytoria obsługiwane przez agentów: jeśli Twoje agenty otwierają pull requesty, to liczba scaleń i checkoutów, a nie programistów, wyznaczy granice Twojego CI.

Dalsza lektura