Next.js가 10월 14일 15.5.28·16.4.1에서 원격 코드 실행 취약점 두 건과 서비스 거부 취약점을 수정했어요. App Router에서 Cache Components를 사용하면, 여러 typed array를 반환하는 use cache 함수가 인증 없는 원격 코드 실행으로 이어질 수 있습니다. 이 문제는 알려진 우회 방법이 없으며, 공식 공지는 비슷한 함수가 보이지 않더라도 즉시 업데이트하도록 안내해요.

• SVG 이미지 최적화 관련 원격 코드 실행 취약점은 glibc 기반 Linux에 영향을 줘요. 이 문제의 우회 방법은 Next.js가 사용하는 sharp를 0.35.5 이상으로 맞추는 것입니다.
• Server Action이 하나 이상 있는 App Router 앱에는 조작된 요청으로 CPU를 점유하는 서비스 거부 문제도 있어요. Pages Router나 Server Action을 쓰지 않는 앱은 이 문제의 영향을 받지 않습니다.

eMudhra의 중간 CA 인증서 8개에 해당하는 개인 키가 유출됐어요. 이 키로 다른 사이트의 HTTPS 인증서를 위조할 수 있고, 연결을 가로챌 수 있는 공격자는 사이트를 사칭해 통신을 읽거나 바꿀 수 있습니다. Mozilla는 인증서 폐기 목록인 OneCRL로 해당 인증서를 차단했고, 기본 설정의 Firefox는 업데이트나 재시작 없이 보호받아요.

• OneCRL 수신을 막는 사용자 설정에도 대응하도록 Firefox 158.0.1과 ESR 115.43.1·153.5.1을 배포했어요. OneCRL을 받지 않는 다른 앱을 위해 NSS 3.131.1에서도 관련 루트 인증서를 제거합니다.

Cloudflare와 VoidZero가 Owner.com의 Max Schwenk와 함께 TypeScript 컴파일러의 Rust 포트 tsrs를 개발해요. TypeScript 팀과 협력해 원본의 언어 동작을 따르고, Oxc 도구 체계 안에서 유지할 계획입니다. Rust의 WebAssembly 지원을 활용해 브라우저에서도 개발 도구를 실행하려는 방향이며, Theo Browne의 tsc-rs와 통합하는 작업도 진행하고 있어요.

• 발표팀의 초기 벤치마크에서는 타입 검사 워커 수를 같게 맞췄을 때 TypeScript 7.0보다 최대 8배 빠르고 메모리를 약 70% 적게 썼어요. 기본 설정은 장비에 따라 달라져 이 측정 조건과 구분해야 합니다.
• 아직 실험 단계예요. 진단 메시지가 출력되는 순서처럼 원본과 다른 동작이 남아 있습니다.

TypeScript 7.1 beta가 content mapper를 추가했어요. Vue·Svelte·Astro 같은 파일에서 JavaScript·TypeScript 영역을 가상 파일로 옮기고 원래 위치와 연결해, tsc와 에디터가 같은 연동 방식을 쓸 수 있게 합니다. 프레임워크별 mapper는 prototype 또는 구현 단계이며, 사용하려면 해당 mapper 패키지를 별도로 준비해 tsconfig.json에 등록해야 해요. 공식 예시의 @vue/content-mapper는 아직 npm에 없습니다.

CLI에서는 외부 실행 파일을 호출하므로 --runExternalCode가 필요하고, VS Code에서는 workspace trust와 별도 권한을 허용해야 해요. 컴파일러를 프로그램에서 사용하는 API도 typescript/sync·typescript/async 등으로 나눠 제공합니다.

• 공식 벤치마크의 5개 코드베이스에서 검사 스레드 4개와 --noEmit 조건으로 7.0보다 1.2~1.9배 빨랐고, 메모리는 약 16~50% 줄었어요.
• 분배 조건부 타입의 제약 검사가 엄격해졌어요. 전체 union에 성립하던 제약을 각 분기에도 그대로 적용한 코드는 새 오류가 날 수 있습니다.

VoidZero가 비공개 공용 서비스로 준비하던 Void를 바꿔, SDK·CLI와 배포 플랫폼 전체를 오픈소스로 공개했어요. 조직의 Cloudflare 계정에 플랫폼을 설치하면 구성원에게 계정 접근 권한을 각각 주지 않고도 앱 배포를 허용하고, 관리자가 접근 권한과 자원 한도를 정할 수 있습니다. 기존 React Router·SvelteKit·Nuxt·TanStack Start·Astro의 라우팅과 렌더링을 유지하면서 Void로 자원 생성과 배포를 처리할 수도 있어요.

• 팀 플랫폼을 직접 운영하려면 Workers for Platforms·R2를 활성화한 Cloudflare 계정, PostgreSQL, 로그인 제공자 계정, 앱용 도메인이 필요해요. 팀 관리 기능이 필요 없다면 SDK로 자기 Cloudflare 계정에 직접 배포할 수 있습니다.