--- title: "Nowości web dev: RCE w React i Next.js, fast mode Opus 5.5" description: "Nowości web dev z 11–18 października 2026: łatki React i Next.js na trzy krytyczne RCE, fast mode dla Claude Opus 5.5 bez preview i Python na Vercel w GA." canonical_url: "https://www.outofplace.space/pl/blog/nowosci-web-dev-2026-10-18" language: "pl" last_updated: "2026-10-18" alternates: en: "https://www.outofplace.space/blog/dev-digest-2026-10-18.md" --- # Nowości web dev: RCE w React i Next.js, fast mode Opus 5.5 > Nowości web dev z 11–18 października 2026: łatki React i Next.js na trzy krytyczne RCE, fast mode dla Claude Opus 5.5 bez preview i Python na Vercel w GA. Opublikowano 2026-10-18 · Kategoria: AI dla programistów · Tagi: Next.js, React, Claude Najważniejsze nowości web dev tego tygodnia to łatki bezpieczeństwa: 14 października 2026 React wydał 19.0.9, 19.1.10, 19.2.9 i 19.3.1, które usuwają krytyczne zdalne wykonanie kodu (RCE) w React Server Components, a Next.js wydał 16.4.1 i 15.5.28 na trzy własne komunikaty, w tym dwa krytyczne. Zanim zajmiesz się czymkolwiek innym z tej listy, zaktualizuj Next.js do 16.4.2 (albo 15.5.28) i React do łatki ze swojej linii. Po stronie Claude fast mode dla Claude Opus 5.5 wyszedł 15 października z research preview, a tego samego dnia Python na Vercel stał się ogólnie dostępny. Zespół Next.js pokazał też, jak v0 powstrzymał Partial Prefetching przed mnożeniem zapytań, czyli kompromis, który zmierzyliśmy w [naszym benchmarku prefetchu w Next.js](https://www.outofplace.space/pl/blog/nextjs-prefetch-zmierzony). | Pozycja | Wersja lub data | Co zrobić | | -------------------------------------- | -------------------- | ------------------------------------------------------------------ | | Komunikaty React Server Components | 19.0.9 do 19.3.1 | Aktualizuj od razu, jeśli jakikolwiek kod React działa na serwerze | | Wydanie bezpieczeństwa Next.js | 16.4.1, 15.5.28 | Aktualizuj od razu; obejście ma tylko RCE w obrazach | | Łatka Next.js | 16.4.2, 15 paź | Weź razem z poprawkami bezpieczeństwa | | Partial Prefetching w v0 | 16 paź | Przeczytaj, zanim włączysz prefetch w dużych siatkach | | Python na Vercel | GA, 15 paź | Backend w Pythonie może być w jednym projekcie z frontendem | | Indeks produkcyjny AI Gateway | 15 paź | Modele open-weight niosą większość tokenów, nie wydatków | | Fast mode w Claude Opus 5.5 | poza preview | Nagłówek beta już zbędny; włącz, gdzie liczy się szybkość odpowiedzi | | Compliance API: preferencje członków | beta, 15 paź | Administratorzy Enterprise mogą sprawdzić zapisane instrukcje | | Claude Code | 2.1.299 do 2.1.302 | Sprawdź uruchomienia bez interfejsu i reguły MCP | | Kontrola wersji w Anthropic | 13 paź | Lektura o obciążeniu gita przez agentów; nic do instalowania | ## Next.js i React ### React 19.0.9 do 19.3.1: krytyczne RCE w Server Components Wszystkie cztery linie Reacta dostały 14 października 2026 łatkę z jedną zmianą w React Server Components, „Improve transport protocol” (wydania [19.0.9](https://github.com/react/react/releases/tag/v19.0.9), [19.1.10](https://github.com/react/react/releases/tag/v19.1.10), [19.2.9](https://github.com/react/react/releases/tag/v19.2.9) i [19.3.1](https://github.com/react/react/releases/tag/v19.3.1)). Powód podają dwa komunikaty z tego samego dnia: krytyczne (CVSS 9,5) [zdalne wykonanie kodu bez uwierzytelnienia](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) (GHSA-xqc2-xf4c-x3h3) w `react-server-dom-webpack`, `-turbopack` i `-parcel` od 19.0.0 do 19.3.0, oraz [odmowa usługi (DoS)](https://github.com/react/react/security/advisories/GHSA-h3gv-c5rc-p453) w Server Functions o wysokiej wadze (GHSA-h3gv-c5rc-p453). Według komunikatu RCE wymaga „skrajnie rzadkich przypadków”, w których odpowiedź przenosi kilka tablic typowanych i wartość kontrolowaną przez atakującego, a mimo to zaleca natychmiastową aktualizację. Nasze zdanie: rzadkie warunki to nie powód, by czekać, skoro poprawka to wydanie łatkowe. Jeśli Twój React działa tylko w przeglądarce, problem Cię nie dotyczy; wszystko, co używa Server Components albo Server Functions, przenieś dziś na łatkę ze swojej linii. ### Next.js 16.4.1 i 16.4.2: trzy komunikaty, potem łatka [Next.js 16.4.1](https://github.com/vercel/next.js/releases/tag/v16.4.1) i [15.5.28](https://github.com/vercel/next.js/releases/tag/v15.5.28) wyszły 14 października 2026 z poprawkami do trzech komunikatów; 15.5.28 zawiera dwie z nich, te, które dotyczą linii 15.x. [GHSA-673q-mjm6-r5xr](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) to krytyczne RCE w aplikacjach z Cache Components, w których funkcja z `use cache` zwraca kilka tablic typowanych (16.0.0 do 16.4.0). [GHSA-2464-fhr4-w9xw](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) to krytyczne RCE w Image Optimization API przy plikach SVG, przez zewnętrzną bibliotekę, na Linuksie z glibc (10.0.0 do 15.5.27 i 16.0.0 do 16.4.0); obejście to upewnienie się, że Next.js używa `sharp` 0.35.5 lub nowszego. [GHSA-p3m5-59mp-jv5r](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) to odmowa usługi o wysokiej wadze w każdej aplikacji na App Routerze z co najmniej jedną Server Action, bez obejścia poza aktualizacją. Dzień później, 15 października, wyszedł [Next.js 16.4.2](https://github.com/vercel/next.js/releases/tag/v16.4.2) z ośmioma przeniesionymi zmianami, głównie poprawkami Turbopacka i turbo-tasks (garbage collection, kolizje chunków przy leniwym dynamicznym imporcie, błędy realpath przy rozwiązywaniu modułów, spójność snapshotów), do tego poprawkami Pages Routera w trybie dev i dokumentacji. Żadna z nich nie jest poprawką bezpieczeństwa. Nasze zdanie: przejdź od razu na 16.4.2, które zawiera poprawki z 16.4.1, i przy okazji sprawdź `sharp` w lockfile. Komunikat o `use cache` zaleca aktualizację nawet wtedy, gdy żadna Twoja funkcja nie zwraca tablic typowanych. ### Partial Prefetching w v0 i Skill z Next.js 16.4 16 października 2026 zespół Next.js opisał, [jak v0 poprawił nawigację dzięki Next.js 16.4](https://nextjs.org/blog/improving-navigation-experience-in-v0-with-nextjs-16-4): agent z nowym Skillem `next-partial-prefetching-optimizer` pisał test Playwright z `instant()` dla każdej nawigacji, a potem przebudowywał kod z `'use cache: remote'`, `'use cache: private'` i nowym API `navigation()`, aż test przechodził. Pierwsze wdrożenie zwiększyło liczbę zapytań prefetch do `/templates/[id]` 2,9 raza; naprawili to, uruchamiając pełniejszy prefetch karty dopiero po najechaniu, fokusie albo dotyku. Po wszystkich zmianach dzienny koszt był o 2,9% niższy, przy wydatkach na Runtime Cache 4,3 raza wyższych niż wcześniej; ruch w tym czasie się zmieniał, więc zespół czyta to jako „nie drożej”, a nie jako oszczędność. Wpis podaje też, że od 16.4 `create-next-app` domyślnie włącza Cache Components i Partial Prefetching. Nasze zdanie: warto zapamiętać skok 2,9 raza. `prefetch={true}` na każdej karcie dużej siatki kosztuje zapytania, co zgadza się z tym, co widzieliśmy w naszym własnym pomiarze na stronach z wieloma linkami; tam pobieraj z wyprzedzeniem dopiero po sygnale zamiaru i trzymaj test `instant()` w CI. ## Vercel ### Python na Vercel jest ogólnie dostępny [Python na Vercel stał się ogólnie dostępny](https://vercel.com/blog/python-on-vercel-is-now-generally-available) 15 października 2026. Działa na CPythonie na Linuksie w Fluid compute, rozpoznaje FastAPI, Flask, Django i FastHTML oraz czyta pliki zależności, także te zarządzane przez `uv`. Vercel Services łączy backend w Pythonie i frontend w jednym projekcie, a `vercel dev` uruchamia oba lokalnie. [Vercel Daemons](https://vercel.com/changelog/vercel-daemons-is-now-in-public-beta), do długo działających procesów, takich jak konsumenci kolejek, wszedł tego samego dnia w publiczną betę. Nasze zdanie: serwis w FastAPI obok aplikacji Next.js nie potrzebuje już drugiego hostingu, a oba dzielą podglądy. Kolejki i wszystko, co musi działać bez przerwy, są wciąż na becie, więc zostaw je tam, gdzie działają dziś. ### Indeks produkcyjny AI Gateway: open weight to 71,5% tokenów i 23% wydatków [Indeks produkcyjny AI Gateway za październik 2026](https://vercel.com/blog/ai-gateway-production-index-october-2026), opublikowany przez Vercel 15 października, podaje, że modele open-weight przetworzyły we wrześniu 71,5% tokenów w bramce i odpowiadały za 23% wydatków liczonych według cen katalogowych. Udział Anthropic w wydatkach po raz pierwszy spadł poniżej połowy, do 43,9%, a średnia cena za token była o 47% niższa niż w grudniu. Nasze zdanie: tokeny i pieniądze mówią co innego. Taki podział sugeruje, że zespoły wysyłają masową pracę do tanich modeli open-weight, a płacą za modele czołowe tam, gdzie decyduje jakość; jeśli cały Twój ruch idzie do jednego modelu, warto ten podział przetestować. ## Claude ### Fast mode w Claude Opus 5.5 wyszedł z research preview Od 15 października 2026, według [informacji o wydaniach Claude](https://platform.claude.com/docs/en/release-notes/overview), [fast mode](https://platform.claude.com/docs/en/build-with-claude/fast-mode) w Claude Opus 5.5 nie wymaga prośby o dostęp ani nagłówka beta `fast-mode-2026-02-01` i ma domyślny limit w progach Start, Build i Scale. Włącza się go przez `speed: "fast"` w zapytaniu; daje do 2,5 raza więcej tokenów wyjściowych na sekundę, ale nie szybszy pierwszy token, za 8 USD za milion tokenów wejściowych i 40 USD za milion wyjściowych. Zmiana szybkości oznacza chybienie w prompt cache, a fast mode nie działa z Batch API, zobowiązaniem Priority Tier ani na Claude Platform on AWS. Fast mode dla Opus 5 i Opus 4.8 zostaje w research preview, z nagłówkiem. Tego samego dnia trafił do Claude in Microsoft Foundry dla wdrożeń hostowanych na Azure. Nasze zdanie: używaj go tam, gdzie człowiek patrzy na strumień odpowiedzi, jak w agencie do kodu czy czacie, i trzymaj jedną rozmowę na jednej szybkości, żeby cache działał. Pole `usage.speed` w odpowiedzi mówi, z jaką szybkością obsłużono zapytanie. ### Compliance API zwraca zapisane instrukcje członków Także 15 października [Compliance API](https://platform.claude.com/docs/en/manage-claude/compliance-api) zaczęło zwracać to, co każdy członek organizacji zapisał jako Instructions for Claude w claude.ai i jako Global instructions w Cowork, w becie dla Claude Enterprise: `GET /v1/compliance/organizations/{org_uuid}/user_preferences` z zakresem `read:compliance_user_data`. Nasze zdanie: zapisane instrukcje potrafią zawierać nazwy klientów i wewnętrzne zasady. Zespoły z obowiązkiem audytu mają teraz jak je zobaczyć, a członkowie powinni wiedzieć, że administratorzy to mogą. ### Claude Code 2.1.299 do 2.1.302 Między 14 a 16 października 2026 wyszły cztery wydania: 2.1.299, [2.1.300](https://github.com/anthropics/claude-code/releases/tag/v2.1.300), [2.1.301](https://github.com/anthropics/claude-code/releases/tag/v2.1.301) i 2.1.302. [2.1.299](https://github.com/anthropics/claude-code/releases/tag/v2.1.299) dodało idle compaction (rozmowa powyżej 200 tys. tokenów pozostawiona bez ruchu na około 54 minuty jest kompaktowana, zanim wygaśnie jej godzinny prompt cache; `"idleCompaction": false` to wyłącza) i sprawiło, że reguły zezwoleń MCP pasują tylko do serwera, który nazywają, więc `mcp__a` nie zezwala już na serwer o nazwie `a__b`. [2.1.302](https://github.com/anthropics/claude-code/releases/tag/v2.1.302) uruchamia sesje `claude -p` i Agent SDK bez trybu uprawnień w trybie `default` u zewnętrznych dostawców, gdy telemetria jest wyłączona albo instalacja jest świeża, i domyślnie włącza też, u każdego dostawcy, fork subagents w `claude -p`, Agent SDK, aplikacji desktopowej i VS Code, tak jak już były w terminalu (`CLAUDE_CODE_FORK_SUBAGENT=0` je wyłącza). Nasze zdanie: jeśli uruchamiasz Claude Code bez interfejsu w CI, przypnij wersję i podawaj `--permission-mode` jawnie, a reguły MCP pisane krótkim prefiksem przepisz na `mcp____*`. ### Nowa kontrola wersji w Anthropic 13 października 2026 Anthropic opisał, [dlaczego zastąpił gita w swoim monorepo](https://www.anthropic.com/engineering/redesigning-source-control) (aktualizacja 15 października): dzienna liczba scaleń wzrosła z około 2 500 w maju 2026 do ponad 30 000 we wrześniu, przy około 25 milionach checkoutów CI dziennie. Siedmioosobowy zespół zbudował Scion, system kontroli wersji zaprojektowany dla agentów, które zawsze są online, i przeniósł monorepo w pięć miesięcy; Anthropic pisze, że Scion „w żadnym razie nie zastąpi gita do ogólnego użytku”. Nasze zdanie: nie ma czego instalować, bo Scion jest wewnętrzny. To miara tego, dokąd zmierzają repozytoria obsługiwane przez agentów: jeśli Twoje agenty otwierają pull requesty, to liczba scaleń i checkoutów, a nie programistów, wyznaczy granice Twojego CI. ## Dalsza lektura - [React: Unauthenticated Remote Code Execution in React Server Components](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3): Krytyczny komunikat z 14 października 2026 z podatnymi i poprawionymi wersjami. - [Next.js: Remote Code Execution in use cache functions](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr): Kogo dotyczy na 16.0.0 do 16.4.0 i dlaczego i tak warto zaktualizować. - [Claude: Fast mode](https://platform.claude.com/docs/en/build-with-claude/fast-mode): Obsługiwane modele, ceny, limity i powrót do standardowej szybkości.