Веб Мастерская | Веб разработка и программирование | ИТ | IT

ДАЙДЖЕСТ НОВОСТЕЙ:

Коллеги, снова пятница, и у меня для вас свежая подборка новостей из мира веб-разработки! 🔥


🚀 React 19.3 вышел — что нового?
Команда React выкатила версию 19.3 с целым рядом улучшений. Ходят слухи, что скоро увидим и React 20, но пока довольствуемся тем, что есть. Если работаете на React — самое время обновиться и протестировать новые фичи в продакшене!


⚡ Next.js 16.4: Turbopack становится стабильным
Vercel продолжает радовать. Новый Next.js 16.4 приносит lazy compilation, уменьшенный вывод Turbopack и полную поддержку React 19.3. Скорость сборки выросла, билды стали быстрее — фрилансерам и студиям это точно понравится!


🟢 Node.js 26: Temporal API теперь по умолчанию
Долгожданное событие для бэкендеров. В Node.js 26 Temporal API включен по умолчанию, добавились Map upsert helpers и новый V8 14.6. Если вы все еще на старых версиях — пора планировать миграцию, потому что старая добрая Date уже уходит в прошлое.


🛡️ PHP2Shell: критические уязвимости RCE
Внимание, бэкендеры на PHP! Обнаружены две критические уязвимости (CVE-2026-109618 и CVE-2026-109619), позволяющие неаутентифицированному злоумышленнику выполнять произвольный код на сервере. Затронуты версии PHP от 5.4 до 8.5 — это практически все, что вы могли встретить в legacy-проектах. Срочно обновляйтесь и проверяйте свои клиенты!


⚠️ Vmanager под ударом: обход аутентификации
А здесь у нас Cisco Catalyst SD-WAN Manager (vManager). Уязвимость CVE-2026-76504 позволяет получить права администратора одним POST-запросом — буквально без всякой аутентификации. Если вы используете vManager для управления сетью — патчите инфраструктуру немедленно, иначе ваш сервер может уйти к злоумышленникам.

Всем удачи и да поможет нам Ктулху...

CMS:

Когда стоит выбирать Drupal вместо WordPress

Коллеги, давайте честно: в 8 из 10 проектов WordPress закроет задачу. Но есть те самые 2 из 10, где вы будете проклинать всё на свете, пытаясь натянуть его на сложный проект. И вот тут на сцену выходит Drupal.

Когда Drupal реально оправдан:

🔹 Сложная структура контента. У вас 15+ типов материалов, связанных друг с другом: статьи → авторы → категории → теги → регионы → ещё какая-нибудь сущность. В WP вы утонете в плагинах ACF и кастомных таксономиях. В Drupal это нативная история из коробки.

🔹 Гибкие права доступа. Когда нужно, чтобы редактор видел одно, менеджер — другое, а клиент из региона Х — только свой кусок. В Drupal система ролей и разрешений гранулярная до неприличия.

🔹 Мультиязычность на стероидах. Не просто «перевели страницу», а 5 языков, разные структуры меню, локализованные таксономии, переводы полей сущностей. Drupal делает это без танцев с бубном.

🔹 Безопасность уровня «госсайт». Не зря на Drupal сидят whitehouse.gov и куча университетов. Модуль Security Team работает как часы, патчи выходят быстро, аудит кода строгий.

🔹 Контент как API. Headless-архитектура, когда фронт на React/Next, а бэк отдаёт JSON. В Drupal это из коробки через JSON:API. В WP — через плагины и боль.


А когда Drupal — оверкилл:

Блог, лендинг, визитка, простой интернет-магазин на 50 товаров. Серьёзно, не мучайте себя. WordPress + Elementor/WooCommerce закроют это за неделю.

Главный критерий выбора: если вы ловите себя на мысли «мне нужна не просто CMS, а фреймворк для управления контентом» — смотрите в сторону Drupal. Порог входа выше, порог боли на третьем месяце поддержки — ниже.

Из практики
Переносили корпоративный портал с 200+ страницами и 8 ролями с WP на Drupal. Клиент перестал звонить в 2 часа ночи с вопросом «почему плагин конфликтовал». Бесценно. 😄

Вот так. Идем кодить дальше! 🚀

ЭТО ВАЖНО!

PHP2SHELL: ломают сам язык, а не ваш код

Коллеги, 21 октября команда PHP выпустила внеочередные патчи. В ядре языка нашли две критические уязвимости (CVE-2026-109618 и CVE-2026-109619) с оценкой 9.2 из 10, названные исследователями PHP2Shell.

Главная боль: это дыра НЕ в вашем коде и НЕ в плагинах, а в самом интерпретаторе!

Атакующему не нужен ваш логин или баг в приложении. Он просто шлёт запрос, вызывающий исчерпание памяти (memory_limit) или фатальную ошибку.

Механизм обработки ошибок в PHP некорректно убирает за собой мусор, оставляя use-after-free в памяти, который хакер использует для удаленного выполнения шелл-кода (RCE).

Масштаб пугает: PHP работает на трёх четвертях веба. Уязвимы все версии, начиная с 5.4. Эксплойты уже подтверждены на свежих контейнерах WordPress, Drupal, Joomla и Magento. Под ударом даже простая страница «Hello World».

Что делать прямо сейчас:

1. Обновите PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12.

2. Обязательно перезапустите воркеры (php-fpm / Apache)! Просто обновить пакеты мало, дыра живёт в процессах.

3. Если вы на 8.1 или старее — официальных патчей нет. Ищите бэкпорты от вендора дистрибутива или срочно планируйте переезд.

4. Временно отключите в php.ini опцию session.upload_progress.enabled=0 — она закрывает один из векторов.

5. Если обновить нельзя, а сервер смотрит в интернет — временно закройте его от внешнего мира.

Ваш код может быть идеальным, но если дырявый фундамент — сервер уже не ваш.

Всем удачи и поможет нам Ктулху...

JS:

Шаблонные литералы — это не только ${переменная}, но и нормальная многострочность без \n и бесконечных плюсов.

Раньше:

const msg = "Привет, " + name + "!\n" +
"Заказ №" + id + " готов.";

Теперь:

const msg = Привет, ${name}! Заказ №${id} готов.;

Обратные кавычки сохраняют переносы строк как в редакторе. Для писем, логов, уведомлений и небольших HTML-фрагментов это просто спасение.

В реальных проектах я часто вижу, как джуны тащат конкатенацию из старых примеров. Но шаблонные литералы — это стандарт с 2015 года, и их можно смело использовать даже без сборки и танцев с бубном.

Но есть два подводных камня.

1. Лишние отступы из кода попадут в строку. Если шаблон выровнен по красоте, эти пробелы окажутся в тексте. Для писем и разметки это часто критично.

2. Если внутрь ${} попадает пользовательский ввод и строка идёт в HTML, шаблон не защищает от XSS. Экранируйте данные.

Отдельная история — тегированные шаблоны. Это когда перед обратными кавычками ставят функцию, например, чтобы автоматически экранировать значения. Для простых задач это не нужно, но сам механизм показывает, что литералы можно расширять.

Совет из практики

Если шаблон уходит в innerHTML, вынесите экранирование в отдельную функцию и оборачивайте все пользовательские значения. Это спасёт от кучи глупых багов.

Практика: видите склейку через + и \n — предлагайте рефакторинг на шаблонные литералы. Код становится короче, а читать его приятнее. Для больших шаблонов лучше шаблонизатор, но для простых задач литералы идеальны.

Вот так. Идем кодить дальше! 🚀

PHP:

Коллеги, кто хоть раз видел «Call to a member function on null», тот уже познал боль. Обычно это происходит так: запрос к MySQL вернул ноль строк, а код всё равно пытается вызвать метод у объекта.

Раньше писали так:

$phone = null;
if ($user !== null && $user->profile !== null) {
$phone = $user->profile->phone;
}

Длинно, скучно и легко забыть одну проверку. В продакшене это мгновенно превращается в фатал.

В PHP 8+ есть nullsafe оператор ?->:

$phone = $user?->profile?->phone;

Если $user равен null, цепочка не падает, а просто вернёт null. Дальше решаем сами: дефолт, бейдж, 404 или лог.

Где реально выручает:

— $user из репозитория: SELECT ... LIMIT 1 может вернуть пустоту;
— связи: $order?->customer?->email;
— DTO и сущности, где часть полей не заполнена.


Но нюансы из мастерской:

— ?-> хорош там, где «нет данных» — нормальный сценарий.

— Если объект обязан быть, не прячьте ошибку. Лучше исключение или проверка на уровне сервиса.

— Для массивов он не подходит: используем $data['phone'] ?? null.

— Не заменяет типизацию. ?User $user = null и строгие контракты всё ещё спасают.

— Если используете PDO, не путайте false и null. Удобнее, когда репозиторий возвращает ?User, а не сырой результат fetch().

Пример:

$user = $repo->findById($id);
$email = $user?->getContact()?->getEmail();
return $email ?? 'не указан';


Меньше лесенки из if, больше читаемости. Но помним: nullsafe — не магия, а аккуратный способ работать с пустыми результатами БД.

Вот так. Идем кодить дальше! 🚀

HTML:

Коллеги, хватит тянуть библиотеки ради одной всплывашки! В 2026 нативный Popover API уже спокойно живёт в продакшене, а многие всё ещё пишут велосипеды.

Раньше: плагины, z-index войны, слушатели на document, «а почему оно не закрывается?». Теперь достаточно двух атрибутов:

<button popovertarget="menu">Меню</button>
<div id="menu" popover>Я нативный поповер.</div>

Без JS. Браузер сам:

• поднимет элемент в top layer поверх всего;
• закроет его по клику вне и по Esc;
• возьмёт на себя базовую доступность;
• отдаст :popover-open и ::backdrop для стилей.

Если нужно не переключать, а явно открыть или закрыть:

<button
popovertarget="menu"
popovertargetaction="show"
>Открыть</button>

<button
popovertarget="menu"
popovertargetaction="hide"
>Закрыть</button>

Три режима:

1️⃣ popover="auto" — закрывается сам, вытесняет другие. Идеален для меню, фильтров, быстрых действий.

2️⃣ popover="hint" — мягкий режим для подсказок, которые не должны агрессивно всё закрывать.

3️⃣ popover="manual" — полный ручной контроль, без автозакрытия.

Из мастерской:

— Не делайте из поповера модальное окно. Для диалогов есть <dialog>.

— Не прячьте контент через display: none вручную — браузер сам управляет видимостью.

— Состояние стилизуйте через :popover-open, фон через ::backdrop.

— Для позиционирования у кнопки смотрите в сторону CSS Anchor Positioning.

Поддержка в 2026 отличная, но на старых проектах всё равно проверяйте. Это тот самый случай, когда можно удалить лишний JS и оставить чистую разметку.

Вот так. Идем кодить дальше! 🚀

КЕЙС:

Коллеги, небольшой клиент попросил внутреннюю CRM: клиенты, задачи, статусы, пара отчётов. Бюджет скромный, срок — две недели.

Стажёр предлагает: «Давайте честный MVC: роуты, контроллеры, модели, middleware, валидация, слои!» Звучит солидно. Но я посчитал: 15 сущностей, 3 экрана, 1 роль. Если строить дворец, не успеваем.

Выбрал классическое ООП: аккуратные классы, простые сервисы, тонкий слой БД. Без фреймворочной магии.


Что сделали:

— Client, Task, Status как сущности;
— ClientService и TaskService для логики;
— один входной файл с простым роутингом, PDO-обёртку и минимум зависимостей.


Почему это быстрее:

— меньше слоёв — меньше кода, который надо писать и отлаживать;
— не нужно спорить о «правильном» разделении ответственности там, где задача на один метод;
— правку в продакшене можно найти за 5 минут, а не блуждать по папкам.


Итог: рабочую версию отдали за 5 дней, поддержка занимает минуты, клиент доволен.

Спустя месяц клиент попросил экспорт в Excel. Добавили один метод в сервис и простой шаблон, а не переписывали половину проекта.

Важно: я не против паттернов. Для большого проекта с командой, ролями, API и сложными сценариями слои оправданы. Но для маленькой внутренней системы классическое ООП часто выигрывает у «архитектуры ради архитектуры».

Совет: выбирайте сложность под масштаб задачи. Лучше скучный рабочий код, чем красивый, но не сданный в срок.

Вот так. Идем кодить дальше! 🚀

ДАЙДЖЕСТ НОВОСТЕЙ:

Привет, коллеги! 👋 Пока одни паникуют из-за ИИ, мы с вами как всегда спокойно пилим проекты. Но следить за индустрией надо, поэтому я собрал для вас топ-5 новостей веб-разработки за эту неделю.

🚨 Срочный патч для Next.js и React!
Vercel выкатили внеочередное обновление безопасности, закрыв критические уязвимости в Next.js и React. Если у вас или ваших клиентов висят проекты на этом стеке, бегом обновляйтесь. Безопасность — это не шутки, коллеги.

🚀 Bun 1.4.3 залетел в прод!
Вышел новый релиз Bun 1.4.3, который снова хвастается космической скоростью установки пакетов. Если вы еще не пробовали заменить npm на Bun в своих пет-проектах или на фрилансе — самое время. Сэкономите кучу времени при CI/CD.

🎨 CSS и HTML в 2026 году
В нативном вебе активно закрепляются View Transitions, API Popover и Anchor Positioning. Это значит, что сложные попапы и плавные переходы между страницами теперь можно делать без тонны JavaScript. Фронтендерам на заметку — код станет чище, а клиенты будут в восторге!

🛠 Обновление Chrome DevTools
В Chrome DevTools добавили поддержку soft navigation в разделе Performance и улучшили работу с MCP-серверами. Теперь отлавливать просадки FPS и следить за производительностью SPA-приложений стало еще удобнее.

📝 WordPress 7.2 уже на подходе
Для тех, кто делает сайты для малого бизнеса: Beta 1 версии 7.2 выходит 20 октября. Это финальный крупный релиз года, так что готовимся обновлять клиентские сайты и тестировать новые фишки.

Какую из этих технологий вы уже щупаете в своих проектах? Делитесь в комментах! 👇

Вот так. Идем кодить дальше! 🚀

ФАКТЫ И ЦИФРЫ:

Сколько сайтов уже на HTTPS в 2026?

Коллеги, давайте без лирики — только цифры, которые заставляют задуматься.

По данным на осень 2026 года:

🔒 ~96–97% страниц, загружаемых в Chrome и Firefox, отдаются по HTTPS. Три года назад было 91%. Прогресс есть, но он замедлился.

🌐 Если смотреть на все зарегистрированные домены (включая заброшенные блоги 2014 года и лендинги, которые «потом доделаю»), картина скромнее — порядка 84–87%. То есть каждый 7-й сайт в интернете до сих пор встречает посетителя надписью «Не защищено».

📱 В мобильном трафике доля HTTPS ещё выше — ~98%, потому что браузеры на смартфонах просто пессимизируют и блокируют mixed-content агрессивнее.

🏢 Среди топ-10 000 сайтов мира — 99,2%. Тут без вариантов: нет сертификата — нет тебя в выдаче, нет в рекламных сетях, нет в доверии пользователя.


А теперь практический вывод, коллеги:

Если вы делаете сайт для малого бизнеса и клиент говорит «да ладно, у нас же не банк, зачем SSL» — покажите ему эти цифры. В 2026 году сайт без HTTPS — это как вывеска «Мы не заботимся о ваших данных». Конверсия падает на 12–18% просто из-за красного замка в адресной строке.

И да, бесплатный Let's Encrypt никто не отменял. Настройка — 15 минут. Автопродление — одна строчка в cron. Отмазка «дорого и сложно» умерла ещё в 2019-м.

Проверьте свои проекты сегодня. Особенно те, что «на поддержке с прошлого года». Один curl -I https://ваш-домен — и сразу видно, не протух ли сертификат.

Вот так. Идем кодить дальше! 🚀