Next.jsのsecurity patch、Node.js 24.20のpermission、Rspack 2.2の性能改善が第35週JavaScriptのexecution boundaryを示します。 開発ですぐ活用できるよう整理しました。
Next.js 16.3.3と15.5.24は二つのcritical unauthenticated RCE経路を修正します。一つはImage Optimization APIが攻撃者管理AVIFをlibheifで処理すると発生し、upstream修正までAVIF optimizationを無効化します。もう一つはCache ComponentsなしでPages RouterとApp Routerを併用するWindows serverに影響します。LinuxとmacOSは対象外ですがWindows deploymentにはworkaroundがなく、configurationではなくpatchが必要です。
Node.js 24.20.0 LTSはruntime権限をより観測可能で取り消し可能にします。permission.dropは許可accessを永久に削除し、--permission-auditは拒否操作をthrowせず記録してenforcement前にrequirementを発見します。Package map、node:stream/iter、structured test log、Buffer searchのend bound、WebAssembly JSPIも追加されます。Dependency、crypto、stream、QUIC、memory fixを含むためproduction workloadに沿ったregression testが必要です。
Rspack 2.2は30件超の性能変更をまとめ、benchmarkでproduction buildを1,822msから1,725msへ短縮し、CopyRspackPluginを約3～4倍高速化、built-in CSS parsingを3倍にし、一つのWasm plugin loadを約80%削減しました。Baseline Browserslist query、compact stable ID、Module Federation test、Playwright integration、500件超のRslint ruleも追加します。Upgrade時はSWC Wasm pluginをswc_core 77向けにrebuildし、breaking RSC CSS-loading変更を確認します。
Next.js 16.3.3と15.5.24は二つのcritical unauthenticated RCE経路を修正します。一つはImage Optimization APIが攻撃者管理AVIFをlibheifで処理すると発生し、upstream修正までAVIF optimizationを無効化します。もう一つはCache ComponentsなしでPages RouterとApp Routerを併用するWindows serverに影響します。LinuxとmacOSは対象外ですがWindows deploymentにはworkaroundがなく、configurationではなくpatchが必要です。
Node.js 24.20.0 LTSはruntime権限をより観測可能で取り消し可能にします。permission.dropは許可accessを永久に削除し、--permission-auditは拒否操作をthrowせず記録してenforcement前にrequirementを発見します。Package map、node:stream/iter、structured test log、Buffer searchのend bound、WebAssembly JSPIも追加されます。Dependency、crypto、stream、QUIC、memory fixを含むためproduction workloadに沿ったregression testが必要です。
Rspack 2.2は30件超の性能変更をまとめ、benchmarkでproduction buildを1,822msから1,725msへ短縮し、CopyRspackPluginを約3～4倍高速化、built-in CSS parsingを3倍にし、一つのWasm plugin loadを約80%削減しました。Baseline Browserslist query、compact stable ID、Module Federation test、Playwright integration、500件超のRslint ruleも追加します。Upgrade時はSWC Wasm pluginをswc_core 77向けにrebuildし、breaking RSC CSS-loading変更を確認します。
Next.jsは二つ目のcritical脆弱性を発見し、8月のsecurity releaseを前倒ししました。16.3.3と15.5.24は、攻撃者が制御するAVIF optimizationと別のWindows server経路で起きるunauthenticated remote code executionを修正します。AVIF optimizationはupstream libraryの修正が届くまで無効化され、影響を受けるWindows環境にはpatch以外のworkaroundがありません。
Node.js 24.20.0 LTSはruntime自身のpolicy surfaceを広げます。permission.dropは権限を永久に放棄し、--permission-auditは拒否された操作をthrowせず記録します。Package map、iterable stream、test logging、WebAssembly JSPIも加わり、権限とasynchronous workをcore APIで明示します。
Rspack 2.2は30件超の性能最適化を適用し、production buildを約5%短縮、CopyRspackPluginを3～4倍高速化、CSS parsingを3倍にし、一つのWasm plugin loadを約80%削減したと報告します。Breaking SWC Wasm boundaryとRSC integrationの変更は、速度向上にも明示的なcompatibility contractが必要だと示します。
Next.jsを16.3.3または15.5.24へ直ちにpatchしてください。Cache Componentsなしで二つのrouterを使うWindows serverは、upgrade以外にRCEを緩和できません。Node.jsのpermission audit modeで必要なaccessを観測してから権限を永久に落とし、experimental streamとWasm APIは明確なrollout boundary内で検証してください。SWC Wasm pluginをswc_core 77向けにrebuildしてからframework integrationのRSC CSS loadingを確認してください。