Bu hafta iki hikaye öne çıktı: Next.js, RCE'ye açılan iki kritik açık için acil yama yayınladı; Anthropic ise AI agent'ların fiziksel laboratuvar donanımını çalıştırmasına izin veren yeni bir standardı açtı. Aradakiler de göz atmaya değer.

Next.js & tarayıcı

Next.js, kimlik doğrulaması gerektirmeyen iki kritik RCE açığını acil bir sürümle yamaladı: CVE-2026-75604 hem Pages hem App Router kullanan self-hosted Windows sunucularını vuruyor, ikinci açık ise özel hazırlanmış bir AVIF görselinin image optimization sırasında uzaktan kod çalıştırmasına yol açıyor. Kendi sunucunda barındırıyorsan — Vercel etkilenmiyor — hemen 16.3.3 veya 15.5.24'e güncelle.

Chrome 152 yayınlandı ve bilinmesi gereken birkaç şey getirdi: sayfadan giden istekleri kısıtlayan Connection Allowlists, yeni ::backdrop, ::scroll-marker ve ::view-transition pseudo-element desteği, kurulu web uygulamaları için window-drag CSS özelliği ve relative alpha renk sözdizimi.

AI

Alibaba, Qwen3.8-Flash-Next'i açık kaynak yaptı — token başına yalnızca 6 milyar parametre aktive eden, 125 milyar parametrelik multimodal bir MoE model ve gelecek Qwen4 mimarisinin bir önizlemesi — detaylı yazı burada. Doğal 262K bağlam, 1M'e kadar genişletilebilir, Anthropic ve DeepSeek'e karşı agresif fiyatlandırılmış.

Anthropic, Model Hardware Standard'ın önizlemesini yayınladı — AI agent'ların mikroskop, liquid handler, robotik kol gibi laboratuvar ve fabrika donanımını satıcıya özel kod yerine tek bir arayüzle çalıştırmasını sağlayan ortak bir spesifikasyon. MCP'nin donanım versiyonu gibi düşün, ama seni yakabilecek makineler için: Anthropic'ten detaylar.

Araçlar

Claude Code bu hafta belirgin şekilde hafifledi: native Linux kurulumu zstd sıkıştırmasıyla ~340MB'tan ~75MB'a düştü, başlangıç artık sandbox ve MCP hazırlığını beklemiyor, /cost, /usage ve /tasks artık gerçek token detayı gösteriyor. Tam changelog.

Bunların hiçbiri tek başına gösterişli değil ama örüntü şu: altyapı, herkesin ne kadar hızlı ship ettiğine sessizce yetişiyor. Duyurulduktan bir gün içinde yamalanan kritik bir Next.js RCE'si, eskiden JS kütüphanesi gerektiren primitive'leri artık native sağlayan bir tarayıcı, tarayıcının ötesine fiziksel donanıma uzanan bir agent framework'ü — haftayı özetleyen bu, tek bir başlık değil.

Gösterişsiz düzeltmeler — patch döngüleri, binary boyutu, pseudo-element'ler — gösterişli şeylerin gerçekten ship edilmesini sağlayan şey.