← Actus Dev

Dev News — 8 oct. 2026 : Next.js 16.4 recommande Cache Components, 6 advisories Next.js et Node 26.11

Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Release

Next.js 16.4: Cache Components pasa a ser la recomendación para toda app

Esto es ENORME para el ecosistema React: Vercel ahora recomienda Cache Components para todas las apps y create-next-app lo activa por defecto (será el default en Next.js 17). Llegan export const ensureStatic ('shell', 'prefetch' o 'navigation') para que el build falle si un componente dinámico se cuela en una ruta estática, y await navigation() / await prefetch() en next/cache para sacar contenido del prefetch. Además next upgrade --agent para que tu agente haga la migración, React 19.3, 20–25% menos disco en el cache de Turbopack, server HMR lazy y bundles más chicos con export mangling.

06 Oct 2026
nextjs.org →
Seguridad

Next.js publica 6 advisories: SSRF en Image Optimization y cache poisoning en SSG/ISR

Ojo con esto si hacés self-hosting. El más grave es un SSRF en Image Optimization (high, CVSS 8.3, versiones 16.0.0 a 16.3.7). Le siguen dos cache poisoning en SSG/ISR que permiten sustituir contenido entre usuarios o generar un DoS persistente, un fill pendiente de 'use cache' que puede filtrar contenido de Draft Mode en respuestas normales, un bypass de dynamicParams en las rutas de imágenes de metadata y una fuga de info en el endpoint MCP del dev server. Fix: 16.3.8 o 15.5.27 (o directamente 16.4).

07 Oct 2026
github.com/advisories →
🧩

JS Frameworks

Beta

Solid 2.0 RC.14: los derivados re-corren después de un write manual

Cambio de semántica a mitad del RC, así que si estás probando Solid 2.0 prestale atención: un write manual a un derivado escribible (createSignal(fn), createStore(fn)) se aplica al toque, y cuando cambia una fuente la función re-corre y recibe ese write como prev. Revierte la precedencia de beta.11: si tu función ignora prev, ahora descarta el write. También infiere los resultados de createEffect como const y arregla un loop al 100% de CPU en streaming SSR.

08 Oct 2026
github.com/solidjs →
🔧

Build Tools & Runtimes

Destacado

Node.js 26.11: Buffer.stringLength(), --process-timeout y Alpine en tier 2

Minor cargado de APIs chicas pero útiles: Buffer.stringLength() y buffer.isLatin1(), http.isValidHeaderName()/isValidHeaderValue(), la opción connectionWindowSize en HTTP/2 y el flag --process-timeout=N para matar procesos colgados. process.ref/unref pasan a estable, los histogramas de perf_hooks suman diff() y snapshot(), y Alpine Linux sube a tier 2, buena noticia para tus imágenes Docker. Hubo un 26.11.1 horas después que solo revierte el rediseño de la doc.

07 Oct 2026
github.com/nodejs →
🛠️

Developer Tools

Release

Playwright 1.64: testing de WebMCP, --shuffle y videos a 60 fps

Los nuevos page.webmcp y frame.webmcp te dejan listar y llamar las tools que una página registra con la API experimental WebMCP, y Playwright MCP se las ofrece al agente como webmcp_<tool>. En el runner: --shuffle con seed reproducible para cazar tests acoplados, default: false por proyecto, locks por describe y screenshots en WebP. Los videos ahora soportan fps, se estilan con CSS y se encodean en VP9.

07 Oct 2026
github.com/microsoft →
Minor

VS Code 1.141: sesiones de agente en grilla y varios GitHub Enterprise

Podés acomodar sesiones de chat en una grilla para comparar resultados sin saltar entre conversaciones, el progreso del chat queda visible mientras responde, y ahora conectás GHE.com y GitHub Enterprise Server en la misma ventana. Suma block paste que reparte filas en líneas sucesivas, samples de dev containers listos (Node.js incluido) y servers MCP de plugins visibles en el editor de Agent Customizations.

07 Oct 2026
code.visualstudio.com →
🔥

Top Stories

Release

Next.js 16.4: Cache Components becomes the recommendation for every app

Vercel now recommends Cache Components for every app, and create-next-app enables it by default (it becomes the default in Next.js 17). New export const ensureStatic ('shell', 'prefetch' or 'navigation') fails the build if a dynamic component sneaks into a static route, and await navigation() / await prefetch() from next/cache exclude content from a prefetch. Also: next upgrade --agent for agent-driven migrations, React 19.3, a 20–25% smaller Turbopack disk cache, lazy server HMR and smaller bundles via export mangling.

06 Oct 2026
nextjs.org →
Security

Next.js publishes 6 advisories: Image Optimization SSRF and SSG/ISR cache poisoning

Pay attention if you self-host. The most severe is an SSRF in Image Optimization (high, CVSS 8.3, versions 16.0.0 through 16.3.7). Two cache poisoning flaws in SSG/ISR allow cross-user content substitution or a persistent denial of service; a pending 'use cache' fill can leak Draft Mode content into regular responses; there is a dynamicParams bypass in metadata image routes and an information disclosure in the dev server's MCP endpoint. Fixed in 16.3.8 and 15.5.27 (or move to 16.4).

07 Oct 2026
github.com/advisories →
🧩

JS Frameworks

Beta

Solid 2.0 RC.14: derivations now re-run after a manual write

A mid-RC semantics change worth noticing if you are testing Solid 2.0: a manual write to a writable derived value (createSignal(fn), createStore(fn)) lands immediately, and when a source changes the function re-runs and receives the write as prev. This reverses beta.11's precedence: a function that ignores prev now discards the write. It also infers createEffect results as const and fixes a 100% CPU loop in streaming SSR.

08 Oct 2026
github.com/solidjs →
🔧

Build Tools & Runtimes

Notable

Node.js 26.11: Buffer.stringLength(), --process-timeout and Alpine at tier 2

A minor packed with small but useful APIs: Buffer.stringLength() and buffer.isLatin1(), http.isValidHeaderName()/isValidHeaderValue(), a connectionWindowSize option for HTTP/2 and a --process-timeout=N flag to kill hung processes. process.ref/unref graduate to stable, perf_hooks histograms gain diff() and snapshot(), and Alpine Linux is promoted to tier 2. A 26.11.1 followed hours later that only reverts the docs redesign.

07 Oct 2026
github.com/nodejs →
🛠️

Developer Tools

Release

Playwright 1.64: WebMCP testing, --shuffle and 60 fps videos

New page.webmcp and frame.webmcp list and call the tools a page registers through the experimental WebMCP API, and Playwright MCP offers them to the agent as webmcp_<tool>. In the runner: --shuffle with a reproducible seed to catch coupled tests, per-project default: false, describe-level locks and WebP screenshots. Videos gain an fps option, CSS-styled action decorations and VP9 encoding.

07 Oct 2026
github.com/microsoft →
Minor

VS Code 1.141: agent sessions in a grid and multiple GitHub Enterprise sign-ins

Chat sessions can be arranged in a grid to compare results without switching conversations, chat progress stays visible while a response streams, and you can sign in to GHE.com and GitHub Enterprise Server in the same window. Also: block paste that spreads rows across successive lines, ready-made dev container samples (Node.js included) and plugin-provided MCP servers in the Agent Customizations editor.

07 Oct 2026
code.visualstudio.com →
🔥

Top Stories

Release

Next.js 16.4 : Cache Components devient la recommandation pour toute app

Vercel recommande désormais Cache Components pour toutes les apps, et create-next-app l'active par défaut (ce sera le défaut dans Next.js 17). Le nouveau export const ensureStatic ('shell', 'prefetch' ou 'navigation') fait échouer le build si un composant dynamique se glisse dans une route statique, et await navigation() / await prefetch() de next/cache excluent du contenu d'un prefetch. Aussi : next upgrade --agent, React 19.3, un cache disque Turbopack 20–25% plus léger, un HMR serveur lazy et des bundles plus petits grâce à l'export mangling.

06 Oct 2026
nextjs.org →
Sécurité

Next.js publie 6 advisories : SSRF dans Image Optimization et cache poisoning SSG/ISR

Attention si vous faites du self-hosting. La plus grave est une SSRF dans Image Optimization (high, CVSS 8.3, versions 16.0.0 à 16.3.7). Deux failles de cache poisoning SSG/ISR permettent une substitution de contenu entre utilisateurs ou un déni de service persistant ; un fill 'use cache' en attente peut fuiter du contenu Draft Mode ; s'y ajoutent un bypass de dynamicParams dans les routes d'images de metadata et une fuite d'informations dans l'endpoint MCP du serveur de dev. Corrigé en 16.3.8 et 15.5.27.

07 Oct 2026
github.com/advisories →
🧩

JS Frameworks

Bêta

Solid 2.0 RC.14 : les dérivations se ré-exécutent après une écriture manuelle

Un changement de sémantique en plein RC : une écriture manuelle sur une valeur dérivée modifiable (createSignal(fn), createStore(fn)) s'applique immédiatement, et quand une source change la fonction se ré-exécute et reçoit l'écriture comme prev. Cela inverse la priorité de beta.11 : une fonction qui ignore prev jette désormais l'écriture. Inférence const pour createEffect et correction d'une boucle à 100% CPU en SSR streaming.

08 Oct 2026
github.com/solidjs →
🔧

Build Tools & Runtimes

Notable

Node.js 26.11 : Buffer.stringLength(), --process-timeout et Alpine en tier 2

Une mineure pleine de petites API utiles : Buffer.stringLength() et buffer.isLatin1(), http.isValidHeaderName()/isValidHeaderValue(), une option connectionWindowSize pour HTTP/2 et un flag --process-timeout=N. process.ref/unref passent en stable, les histogrammes perf_hooks gagnent diff() et snapshot(), et Alpine Linux passe en tier 2. Une 26.11.1 a suivi, qui annule seulement la refonte de la doc.

07 Oct 2026
github.com/nodejs →
🛠️

Developer Tools

Release

Playwright 1.64 : tests WebMCP, --shuffle et vidéos à 60 fps

Les nouveaux page.webmcp et frame.webmcp listent et appellent les outils qu'une page enregistre via l'API expérimentale WebMCP, et Playwright MCP les propose à l'agent sous webmcp_<tool>. Côté runner : --shuffle avec seed reproductible, default: false par projet, verrous par describe et captures WebP. Les vidéos gagnent fps, un style CSS et l'encodage VP9.

07 Oct 2026
github.com/microsoft →
Mineur

VS Code 1.141 : sessions d'agent en grille et plusieurs GitHub Enterprise

Les sessions de chat peuvent s'organiser en grille pour comparer les résultats, la progression reste visible pendant la réponse, et on peut se connecter à GHE.com et GitHub Enterprise Server dans la même fenêtre. Aussi : un block paste qui répartit les lignes, des exemples de dev containers prêts à l'emploi et les serveurs MCP des plugins dans l'éditeur Agent Customizations.

07 Oct 2026
code.visualstudio.com →