Správce balíčků Composer vydal 10. listopadu 2026 verze 2.11.2 a 2.2.32 se třemi novými bezpečnostními hlášeními. Nejvážnější z nich se týká automatických sestavení, která instalují závislosti z cizí úpravy souboru composer.lock, a přepínače --no-scripts ani --no-plugins proti ní nepomůžou.
Balíček nette/application vyšel ve verzi 3.3.1. Parametr akce, renderu, signálu i persistentní vlastnost presenteru smí mít nově typ výčtu s hodnotou: framework údaj z adresy na prvek výčtu převede sám a do odkazu zapíše jeho hodnotu. Starší verze z téhož výčtu udělala v adrese dvojici name a value.
Návrh přidat do filtrovacího rozšíření PHP výčtové typy Filter\Filter a Filter\Flag v hlasování neuspěl: dva hlasy pro, šestnáct proti. K přijetí potřeboval dvoutřetinovou většinu a hlasování se zavřelo 4. listopadu v jednu hodinu ráno. Hlavní výtka zněla, že u dvou příznaků naráz by se stejně muselo sáhnout na celé číslo za výčtem.
Vývojáři PostgreSQL vydali 16. července 2026 druhou betu verze 19. Největší novinkou bety bylo SQL/PGQ, tedy dotazování grafů přímo nad obyčejnými relačními tabulkami. Aktualizováno 2. listopadu 2026: SQL/PGQ vývojáři 7. září z verze 19 vrátili a ostrá verze má vyjít 19. listopadu.
Tým Bootstrapu vydal 8. října první alfu šesté verze. Responzivní třídy dostaly předponu podle vzoru Tailwindu, modální okno nahradil nativní prvek dialog a JavaScript vychází jen jako ES moduly. Kdo zůstane na pětce, dostane ještě verzi 5.4.0.
REA připojuje AI agenty k nástrojům, které zkoumají hotové programy bez původních zdrojových kódů. Balíček rea-agents na npm má od 25. října verzi 6.8.0; vedle analýzy aplikací umí ze záznamu webového provozu vytvořit prostředí pro trénování a testování agentů.
Cloudflare, VoidZero a vývojář Max Schwenk pracují na projektu tsrs, přepisu překladače TypeScriptu do Rustu. Podle měření Cloudflaru je při stejném počtu kontrolních vláken až osmkrát rychlejší než TypeScript 7.0 a bere asi o 70 procent méně paměti. Normou je přepisu verze překladače v Go: každá odchylka od ní se v projektu počítá jako chyba.
Oracle vydal 20. října MySQL 26.10.0. Služba MySQL REST Service v něm nově běží jako komponenta přímo v databázovém serveru, dosud k ní byl potřeba samostatný proces MySQL Router. V replikovaném nasazení ale komponenta zvládne jen jednu běžící instanci a při výpadku sama nepřepne.
Čtveřice funkcí, které v PHP převádějí čísla mezi soustavami, dnes neplatný znak přeskočí a vrátí výsledek složený ze zbytku vstupu. Hlasování o návrhu, který z toho dělá výjimku, běží od 16. října do 1. listopadu a míří na PHP 8.7.
Vestavěný modul node:sqlite má od Node.js 26.11 třídy Database a Statement místo DatabaseSync a StatementSync. Stará jména fungují dál jako aliasy a nevypíšou varování o zastarání. Kdo ale přejde na nové jméno, tomu na starších řadách včetně Node.js 24 import neprojde.
Sjoerd Langkemper navrhl pro PHP novou volbu PASSWORD_BCRYPT_SHA256, která má odstranit hranici 72 bajtů u bcryptu. Přebírá postup z pythonové knihovny Passlib a původní bcrypt ponechává beze změny. Návrh z počátku října je zatím v diskusi, schválené vydání nemá.
Nástroj Vite vydal 6. října 2026 opravy pro pět vývojových řad a zveřejnil k nim tři bezpečnostní hlášení. Dvě chyby dovolily vývojovému serveru vydat soubor, ke kterému měl přístup zakázat, třetí umožnila podstrčit stránce skript z cizí domény. Hotové sestavení webu se netýkají.
