Node.js 26.12.0: встроенные операции маскирования WebSocket-фреймов

Node.js 26.12.0, опубликованный 14 октября 2026 года в текущей ветке, добавил функции websocketMask() и websocketUnmask() в HTTP API. Они выполняют низкоуровневое маскирование и обратное преобразование полезной нагрузки WebSocket-фреймов. По протоколу клиентские кадры маскируются перед отправкой серверу, поэтому такие операции необходимы библиотекам, прокси-серверам и другим компонентам, самостоятельно работающим с форматом кадров. Появление встроенных функций позволяет перенести эту работу ближе к среде выполнения и сократить потребность в собственных JavaScript-реализациях. Для большинства прикладных проектов, использующих готовые WebSocket-библиотеки, новый API останется внутренней деталью, однако авторы сетевых библиотек смогут применить его для упрощения кода и потенциального снижения накладных расходов.

Релиз также добавляет поддержку Python 3.15 в процессе сборки Node.js и обновляет встроенную SQLite до версии 3.54.0. В файловом API исправлены синхронизация асинхронной записи через FileHandle и блокировка дескриптора при первом чтении. Значительная часть изменений относится к потокам: разработчики уменьшили накладные расходы при обработке фрагментов данных, скорректировали обработку закрытия и ошибок, а также добавили методы dump() и dumpSync(). Есть исправления загрузки ES-модулей, модели разрешений, QUIC, диагностических каналов и тестового раннера. Поскольку ветка 26 обозначена как Current, перед переносом производственных систем следует проверить совместимость зависимостей и нативных модулей, а не рассматривать выпуск как автоматическую замену используемой LTS-версии.

GitHub Actions: воспроизводимые workflow с lock-файлами

GitHub 14 октября 2026 года запустил публичное тестирование lock-файлов зависимостей GitHub Actions. Проблема, которую решает механизм, связана с изменяемыми ссылками: workflow может подключать Action по тегу или ветке, но их владелец способен позднее переместить эту ссылку на другой коммит. В результате повторный запуск проверенного workflow теоретически выполнит уже другой код, хотя в самом репозитории пользователя ничего не изменилось. Lock-файл сохраняет точные идентификаторы коммитов и заставляет GitHub Actions использовать зафиксированные версии, одновременно позволяя оставить в YAML удобные и понятные ссылки на теги или ветки.

Для подключения функции предлагается расширение GitHub CLI gh actions-lock. Оно формирует файл .github/workflows/actions.lock, куда попадают прямые и транзитивные зависимости Actions, а также зависимости переиспользуемых workflow. Внедрять блокировку можно постепенно, подключая отдельные процессы автоматизации. Для уже подключенного workflow каждая зависимость должна присутствовать в lock-файле; предусмотрена и проверка его актуальности без изменения файлов, которую можно включить в CI. Администраторы репозиториев, организаций и предприятий могут тестировать политику обязательного использования lock-файлов. Dependabot при обновлении Action способен одновременно обновить соответствующую запись, сохраняя YAML и точный коммит согласованными. При этом lock-файл не доказывает безопасность зависимости: он защищает от незаметной смены уже выбранного кода, но первоначальную версию по-прежнему необходимо проверять.

Gutenberg 24.2: React 19 по умолчанию и развитие редактора

В Gutenberg 24.2 эксперимент с React 19 включен по умолчанию. Скрипты react и react-dom теперь загружают новую основную версию библиотеки, если на сайте не активна тема или плагин, известные проблемами совместимости. Для таких конфигураций предусмотрено сохранение React 18. Авторам расширений WordPress рекомендуется протестировать собственные компоненты, хуки, порталы и взаимодействие со сторонними библиотеками. Если после обновления редактор работает некорректно, React 19 можно временно отключить в разделе экспериментов Gutenberg. Для совместимой установки атрибута inert разработчикам также предложен пакет @wordpress/react-inert-value.

Изменения затронули не только технологическую основу редактора. Заметки переместились в отдельное поле рядом с холстом и могут оставаться видимыми одновременно с панелью настроек. На узком экране обсуждения сворачиваются до аватаров, а выбранный режим отображения запоминается. Удаление заметки теперь допускает отмену, незавершенный ответ сохраняется при переключении блока, а колонка комментариев прокручивается вместе с контентом. Поиск в блоке навигации объединяет страницы, записи, категории и метки, галереи получили сортировку и общий двухцветный фильтр, а инструменты размеров, теней и фонов стали доступны большему числу блоков. В Interactivity API появилась директива data-wp-html, принимающая только явно помеченный доверенный HTML через asDangerousHTML(). Состояния state.navigating и state.initiator позволяют компонентам отслеживать клиентскую навигацию и определять запустивший ее блок.

GitLab устранил критическую RCE-уязвимость с CVSS 10.0

GitLab сообщил о выпуске критических исправлений 19.4.2, 19.3.5 и 19.2.8 для Community Edition и Enterprise Edition. Главная закрытая уязвимость зарегистрирована как CVE-2026-97229 и получила максимальную оценку CVSS 10.0. Из-за недостаточной проверки регулярных выражений специально подготовленное выражение в конфигурации CI/CD при определенных условиях могло привести к выполнению произвольного кода на сервере GitLab. Для эксплуатации не требовались учетная запись и действия со стороны пользователя, а атака могла проводиться удаленно по сети, что объясняет критический уровень риска.

Проблеме подвержены выпуски GitLab CE и EE начиная с 19.2 до 19.2.8, ветка 19.3 до 19.3.5 и ветка 19.4 до 19.4.2. Владельцам self-managed-инсталляций необходимо как можно скорее перейти на исправленный патч своей ветки и убедиться, что обновлены все узлы распределенной установки. GitLab.com уже работал на защищенной версии на момент публикации, а клиентам GitLab Dedicated дополнительных действий не требовалось. Пакет закрывает и другие уязвимости: межсайтовый скриптинг в подсветке синтаксиса, ошибки авторизации в нисходящих и плановых конвейерах, проблемы доступа к файлам репозитория, утечки данных и ряд недостатков GraphQL API. После обновления разумно проверить журналы, историю изменений CI/CD-конфигураций и необычные процессы на сервере, особенно если экземпляр был доступен из интернета.

Inertia.js 3.9.1: XSRF-токены и уникальные векторы шифрования

Патч Inertia.js 3.9.1 содержит всего два заявленных изменения, но оба относятся к защите данных. Первое ограничивает отправку заголовка с XSRF-токеном запросами к тому же origin. Ранее служебный заголовок мог добавляться и при обращении к внешнему адресу, если такой запрос инициировался через клиентский механизм Inertia. Ограничение по origin снижает риск раскрытия токена стороннему серверу при некорректно сформированном URL, ошибке интеграции или перенаправлении логики запросов на другой домен. Это не отменяет серверную проверку CSRF и корректную настройку cookie, но делает поведение клиента более строгим и соответствующим принципу минимальной передачи секретов.

Второе изменение касается зашифрованной истории браузера. Каждая запись теперь получает уникальный вектор инициализации, или IV. Повторное использование одного IV вместе с тем же ключом способно раскрывать закономерности между зашифрованными значениями и ослаблять гарантии выбранного режима шифрования, даже если сам ключ остается неизвестным атакующему. Уникальный IV не обязан быть секретным, но он должен корректно генерироваться и не повторяться в пределах одного ключа. Обновление особенно важно для приложений, использующих шифрование истории Inertia для защиты состояния страниц. Командам следует установить 3.9.1, заново собрать клиентские ресурсы и проверить переходы назад и вперед, восстановление состояния после перезагрузки, внешние ссылки и запросы к API на отдельных доменах.

Вывод

Общий мотив этих выпусков — усиление базовой инфраструктуры разработки. Node.js предоставляет более эффективные примитивы для сетевых библиотек, GitHub делает цепочку зависимостей CI/CD воспроизводимой, а Gutenberg завершает важный этап перехода на React 19 и одновременно улучшает совместную работу с контентом. Наиболее срочное действие требуется администраторам self-managed GitLab: уязвимость с удаленным выполнением кода и оценкой CVSS 10.0 не оставляет оснований откладывать установку патча. Пользователям Inertia.js также стоит применить небольшое обновление без ожидания крупного релиза, поскольку оно исправляет правила обращения с XSRF-токенами и криптографическими параметрами. Lock-файлы GitHub Actions пока находятся в публичном тестировании, но уже заслуживают пилотного внедрения в проектах с чувствительными секретами и производственными развертываниями.