Webdevelopment: beveiliging eerst op 29 oktober 2026

Snellere TypeScript-tooling trekt de aandacht in het webontwikkelingsnieuws van de week van 29 oktober 2026, maar hoort niet bovenaan uw takenlijst. Runtimebeveiliging, herstel van uitrolproblemen en certificaatvalidatie verdienen voorrang.

Runtimepatches en herstel bij Railway gaan vóór experimenten met tooling

De PHP-releases van oktober verhelpen kwetsbaarheden waarmee aanvallers zonder authenticatie op afstand code kunnen uitvoeren. Node.js heeft een fout in de Brotli-decoder verholpen die via door aanvallers aangeleverde gecomprimeerde data kan worden misbruikt. Controleer uw uitgerolde versies en het gedrag van uw applicaties aan de hand van het PHP-beveiligingsbericht en het Node.js-beveiligingsbericht.

Bij Node.js ontstaat het risico door het decomprimeren van door aanvallers aangeleverde data, niet door alleen een webserver te draaien. Volgens de officiële beschrijving van de kwetsbaarheid verdienen applicaties die gecomprimeerde uploads accepteren of externe gecomprimeerde payloads verwerken extra aandacht.

Railway adviseert in zijn instructies om opgeslagen omgevingsvariabelen en toegangsgegevens voor private registries te vervangen, de toegangsgegevens voor de uitrol te vernieuwen en commits die tijdens de uitrolpauze niet zijn doorgevoerd opnieuw uit te rollen.

tsrs is experimenteel; Vite+ vereist expliciete instellingen voor typecontrole

Cloudflare en VoidZero introduceerden tsrs op 20 oktober: een experimentele Rust-port van TypeScript, ontwikkeld in samenwerking met het TypeScript-team. Los daarvan beschrijft de documentatie over statische controles in Vite+ een geïntegreerde controleworkflow waarin TypeScript-controles afhankelijk zijn van de configuratie.

• tsrs blijft experimenteel. Test het los van uw verplichte productiecontroles voordat u overweegt uw huidige compiler ermee te vervangen.
• Vite+ vereist zowel lint.options.typeAware als lint.options.typeCheck voor TypeScript-controles.
• Volgens de documentatie schakelen de tools van Vite+ voor het aanmaken en migreren van projecten deze opties standaard in.

Bekijk eerst op welke controles u nu vertrouwt voordat u ze probeert te versnellen. Een groene pipeline die nooit types heeft gecontroleerd, mist controledekking.

Voer de experimentele compiler uit op dezelfde revisie van de repository als uw huidige controletool. Vergelijk eerst de diagnostische meldingen en pas daarna de uitvoeringstijd. De aankondiging van tsrs bevat geen gemeten snelheidswinst voor uw codebase.

Next.js 16.4.3 verhelpt fouten in tracing en het laden van lettertypen

Next.js 16.4.3, uitgebracht op 23 oktober, is een gerichte onderhoudsrelease:

• OpenTelemetry-traces van een request blijven bij elkaar.
• URL's voor Google-lettertypen zonder bestandsextensie worden correct verwerkt.
• De oplossing voor lettertypen geldt voor beide bundlers.

Gebruikt uw team distributed tracing om trage requests te onderzoeken? Test dan na de update een representatief request. Een succesvol geladen pagina bewijst op zichzelf niet dat de bijbehorende telemetrie correct aan elkaar is gekoppeld.

Gebruik voor het laden van lettertypen een pagina waarop het probleem optreedt als regressietest. De releasenotities beschrijven de fout in de URL-verwerking; controleer of de bedoelde lettertypen in uw uitgerolde applicatie worden geladen.

Eigen CSS-functies kunnen wachten; printbare pagina's kunt u nu al opleveren

Eigen CSS-functies kwamen aan bod in de discussie over voorstellen voor Interop 2027. Een artikel van 26 oktober over print-CSS bracht ondertussen de mogelijkheden die al beschikbaar zijn opnieuw onder de aandacht.

MDN beschrijft eigen functies als experimenteel en niet Baseline: brede beschikbaarheid in browsers is nog niet vastgesteld. De syntaxis ondersteunt parameters en geeft waarden terug via result. Een Interop-voorstel betekent niet dat de ondersteuning klaar is voor productiegebruik.

Geef bij een factuur, hulpartikel of rapport voor klanten voorrang aan goede afdrukken boven de invoering van eigen functies. De afdrukhandleiding van MDN behandelt het verbergen van navigatie, het aanpassen van afdrukstijlen en het instellen van de pagina-indeling.

Test één document dat gebruikers moeten kunnen opslaan of afdrukken. Controleer of navigatie onnodig ruimte inneemt, inhoud wordt afgesneden of paginamarges het resultaat moeilijk leesbaar maken.

Test de novemberuitrol van Let's Encrypt nu al in staging

Let's Encrypt nam op 27 oktober zes externe validatielocaties in gebruik in staging. Na de geplande productie-uitrol op 10 november worden zeven validatieverzoeken verstuurd, inclusief het verzoek vanaf de primaire locatie.

Zet de uitrol in uw uitrolkalender als uw applicatie domeinen inricht of afhankelijk is van automatische certificaatverlengingen.

• Wijziging in staging: 27 oktober.
• Geplande wijziging in productie: 10 november.
• Gepland aantal validatieverzoeken in productie: zeven, inclusief de primaire locatie.

Gelden voor uw validatie-endpoint geografische beperkingen, firewallregels of andere filters voor verzoeken? Test die beperkingen dan vóór de uitbreiding in productie in staging.

Leg het resultaat vast voor elke afzonderlijke validatieconfiguratie. Een geslaagde test voor één domeinconfiguratie zegt niets over een andere configuratie met afwijkende routering of toegangsregels.

Om in de gaten te houden

• Bewijs voor de compatibiliteit van tsrs: Let op resultaten van echte repositories waarin diagnostische meldingen en uitvoeringstijd worden vergeleken; de aankondiging spreekt nog steeds van een experiment.
• Besluiten over CSS-interoperabiliteit: Volg of eigen functies verder komen dan de discussie over Interop-voorstellen voordat u uw beleid voor browserondersteuning wijzigt.
• Gereedheid voor certificaatvalidatie: Rond de controles in staging af vóór de geplande uitrol van Let's Encrypt op 10 november.

Wat u nu kunt doen

1. Inventariseer de PHP- en Node.js-versies in actieve productiecontainers en vergelijk ze met de hierboven genoemde versies waarin de kwetsbaarheden zijn verholpen. Bouw kwetsbare images opnieuw en rol ze opnieuw uit.
2. Gebruikt u Railway? Volg dan alle herstelinstructies voor toegangsgegevens en vergelijk de actieve commit met de commit die u wilde uitrollen.
3. Controleer in een Vite+-repository of zowel lint.options.typeAware als lint.options.typeCheck is ingeschakeld voordat u op de geïntegreerde controletool vertrouwt voor TypeScript-validatie.
4. Draait u een Next.js-applicatie waarop de fouten van toepassing zijn? Test 16.4.3 dan met één request waarvoor tracing is ingeschakeld en één pagina die de betreffende URL-verwerking voor Google-lettertypen gebruikt.
5. Voer vóór 10 november voor elke afzonderlijke configuratie van routering of toegangsregels een Let's Encrypt-validatie in staging uit.

Handige bronnen

• PHP-releasearchief en beveiligingsberichten - PHP-releases met oplossingen en informatie over kwetsbaarheden.
• Node.js-beveiligingsreleases van oktober - Details over de Brotli-kwetsbaarheid en gepatchte versies.
• Herstelinstructies van Railway - Toegangsgegevens vervangen en de uitrol herstellen.
• Documentatie over statische controles in Vite+ - Vereisten voor het inschakelen van TypeScript-controles.
• Aankondiging van Let's Encrypt over validatie - Wijzigingen in staging en de geplande productie-uitrol.

Wat dit voor u betekent

Beveilig eerst de runtime, zorg dat u weer op de uitrol kunt vertrouwen en verbeter daarna het ontwikkelproces. Probeer experimentele tooling binnen duidelijke grenzen uit, maar zet productieoplossingen en validatietests op de takenlijst, met een aangewezen verantwoordelijke en concrete afrondingscontroles.