Прототипно-ориентированный язык программирования
💻 В экосистеме Node.js пять лет ничего нового, нужно исправить
Появился фреймворк, который позволяет писать quant trading на TypeScript без переписывания кода при запуске из backtest в paper или live. В комплекте встроенный пользовательский интерфейс, защита от look-ahead bias на уровне API, crash-safe persistence для live и paper, risk-менеджемент на уровне портфеля
Обновили базовую платформу до версии 2026.2, расширили поддержку Java и Kotlin, улучшили работу с Git и обновили Java-профилировщик.
Доработали редактор и подсказки в терминале, добавили проверки настроек Gradle и упростили переход к исходникам библиотек. Через Git worktrees теперь можно работать с несколькими ветками одновременно.
13 сентября 2026 года состоялся релиз открытого мультиплатформенного редактора видео KeyCut 1.0. Решение предоставляет возможности обрезки и склеивания видео без перекодирования содержимого (обрезка происходит строго по ключевым кадрам, при экспорте сохраняется прямая копия и исходное качество сохраняется, причём подобное действие выполняется достаточно быстро даже при работе с большими видеофайлами). Исходный код проекта написан на JavaScript и распространяется на GitHub под лицензией MIT.
На сайте AvitoTech есть два бесплатных курса — по JavaScript и по паттернам проектирования в коде. Решили напомнить о них: оба курса актуальны, доступны в любое время и будут полезны независимо от того, сколько лет вы уже пишете код. Все лекции можно смотреть онлайн и без регистрации.
Рассказываем, что там внутри ⬇️
7 сентября специалисты Aikido нашли в npm четыре новых пакета с полезной нагрузкой Shai-Hulud: feishu-docx-mcp@0.3.2, bmc-i18n-extract-cli@1.1.1, blueai-cli@0.7.0 и bmc-translate-utils@1.1.1. Все версии опубликовала одна учетная запись в течение часа. Самое интересное, что вредоносный файл даже не пытались замаскировать заново: его SHA-256 полностью совпал с образцом из майской атаки на пакеты @AntV.
По истории обнаружений Aikido этот файл встречался в 319 версиях пакетов 19 мая, а затем исчез на 111 дней. Новая четверка стала первым повторным появлением того же хэша. Это не новая техника и даже не слегка измененный вариант червя, а уже известный образец, по которому достаточно обычного сопоставления контрольной суммы.
В корне пакетов находился index.js, который запускался установочным скриптом preinstall через команду bun run index.js. Полезная нагрузка искала доступные секреты и токены npm, внедрялась в другие пакеты, повышала их версии и публиковала зараженные архивы. Среди признаков закрепления Aikido также называет файлы .vscode/tasks.json и .claude/settings.json, способные запускать команды при дальнейшей работе с проектом.
Этот эпизод особенно неприятен из-за времени публикации. 28 июля npm включил автоматическое сканирование новых пакетов до того, как они становятся доступны для установки. Обычно проверка задерживает публикацию примерно на пять минут, а подозрительный пакет может отправить на ручной разбор или заблокировать. Тем не менее четыре версии с известным вредоносным хэшем появились в реестре.
Google изменил привычный ритм обновления Chrome: стабильные версии браузера теперь выходят каждые две недели вместо прежних четырёх. Для пользователей изменения будут почти незаметными, а вот разработчикам веб-приложений придётся учитывать новый темп появления изменений в платформе и чаще проверять совместимость своих проектов.
5 и 6 сентября 2026 года GitHub опубликовал предупреждения о вредоносном коде в 59 npm-пакетах, не имеющих безопасной версии для обновления. Среди них оказался пакет @pilllesss/yorn, который позиционировался как ИИ-агент для разработки.
По статистике npm, с 29 августа по 4 сентября Yorn скачали более 17 тысяч раз. Предупреждение от 6 сентября охватывает все версии пакета, но не раскрывает, что именно делает вредоносный код. В список из 59 пакетов также вошли утилиты для работы с DOM, изображениями и криптовалютами. Близкое время публикации предупреждений не доказывает, что все они относятся к одной кампании.
Мы сверили все 59 имён и затронутые версии с базой CodeScoring на 7 сентября. Для каждого пакета есть признак наличия вредоносного ПО, охватывающий все версии. Эти данные позволяют блокировать их загрузку при настроенной политике безопасности.
Вместе с блокировкой новых загрузок мы также рекомендуем проверить историю установок и среду, в которой использовались эти компоненты:
Хотите запустить Telegram-бота на инфраструктуре самого Telegram — без отдельного VPS, Docker-контейнера, настройки вебхуков и постоянного контроля за сервером? Похоже, функция постепенно становится доступной: участники сообщества @boto_shop уже написали, что получили бета-доступ к запуску ботов на серверах Telegram. Ниже инструкция, как подать заявку на доступ
Google выпустила бета-версию Chrome 154. В обновлении разработчики получили новые возможности для работы с CSS, веб-API, криптографией и интерфейсами. Среди заметных изменений — расширение возможностей WebSocket, новые методы работы с HTML, поддержка постквантовых алгоритмов в WebCrypto и улучшения поведения диалогов и всплывающих элементов.
Команда Astro представила высокопроизводительный обработчик Markdown и MDX для JavaScript-экосистемы — Sätteri. Решение вошло в состав релиза Astro 7.0 в качестве основного обработчика по умолчанию.
В основе Sätteri лежит язык Rust. Разработкой и поддержкой инструмента в рамках независимого коллектива Bruits занимается Erika — контрибьютор ядра Astro. По заявлению создателей фреймворка, общий прирост скорости сборки в Astro 7 составляет от 15% до 61%. Значительная часть этого ускорения достигнута благодаря переходу на Sätteri и переносу парсинга из JavaScript, а также комплексному обновлению экосистемы Astro 7 (включая нативный Rust-компилятор .astro и переход на Vite 8/Rolldown).
Вышел новый релиз PVS-Studio — 8.00. В нём: новые анализаторы для проектов на JavaScript, TypeScript и Go, новые IDE плагины для WebStorm и GoLand, расширение поддержки MISRA C++ 2023 и многое другое.
Можно сгенерировать дропдаун на 200 строк JavaScript, но никто не скажет, что браузер уже умеет это в 20 строк CSS. Поймать такое может только тот, кто сам понимает, как устроена платформа сегодня. А поводов заглядывать в код и в спецификации у команд все меньше.
28 августа в 19:00 мск на онлайн-митапе говорим про инженерную культуру там, где заметная часть кода уже пишется не руками. Шоу у нас исторически про фронтенд, но темы в этот раз шире фронтенда.
Что обсудим
1. Спецификации как рабочий инструмент, а не хобби энтузиастов
Раньше чтение спек и релизов было личной прихотью пары человек в команде. Сейчас от этого напрямую зависит качество постановки задачи. Если разработчик не знает, что платформа умеет прямо сейчас, он не сформулирует задачу так, чтобы на выходе не получить решение пятилетней давности. И не поймает это на ревью. Поговорим, где проходит разумная граница, сколько нужно читать тимлиду, сколько разработчику, и как встроить это в процесс, а не надеяться на энтузиазм.
2. Поддержка браузеров, которой нет в caniuse
Проценты в таблицах поддержки описывают мировой трафик, а не вашу аудиторию. У b2c-продукта, который живет в вебвью суперприложения, и у корпоративного портала с парком машин пятилетней давности при одних и тех же цифрах будут разные решения. Разберем, как собирать и читать данные по своим пользователям, как превращать их во внутреннюю политику поддержки и как донести эти ограничения до команды, если из общедоступных таблиц они не выводятся.
3. Откуда возьмутся инженеры
Разработчик Ален Йоханнан представил проект под названием Every Cube (веб-версия решения). Это визуальное (в 3D и 2D) отображение всех возможных вариантов перестановок оригинального кубика Рубика 3х3. В проекте можно посмотреть на 43 252 003 274 489 856 000 состояний головоломки.
8 июля 2026 года состоялся выпуск пакетного менеджера NPM 12.0. Это решение входит в поставку Node.js и применяется для распространения модулей на языке JavaScript. Новая версия проекта примечательна прекращением по умолчанию запуска скриптов во время установки пакетов. Это изменение должно усложнить проведение атак через компрометацию зависимостей и замедлить распространение червей, активируемых из установочных скриптов.
8 июля 2026 года Microsoft представила релиз TypeScript 7.0. Предыдущая стабильная ветка TypeScript 6.0 проекта популярного языка программирования, работающего на основе JavaScript, вышла в марте 2026 года. Исходный код TypeScript опубликован на GitHub под лицензией Apache License 2.0. Версия TypeScript 5.0 вышла в марте 2023 года.
В начале апреля в PVS-Studio стартовало тестирование анализаторов для JavaScript и Go, а позже была добавлена поддержка TypeScript. В настоящий момент запуск анализа в зависимости от выбранного языка возможен из CLI, VSCode, WebStorm, GoLand, а код анализируется несколькими десятками pattern-based правил.
— Сейчас в приоритете обеспечение стабильности и корректности работы анализатора, — сказал руководитель направления разработки JS и TS Константин Волоховский, — поэтому тестирование запускается на такой ранней стадии. Для обеспечения корректности результатов работы, в частности, используется unsound-стратегия статического анализа, уменьшающая количество шума в срабатываниях анализатора.
Early Access Program продлится до 15 июля, а в первой половине августа состоится релиз новых анализаторов с 40+ quality-диагностиками в каждом. После релиза анализаторы для JavaScript/TypeScript и Go будут активно развиваться, расширяя свои возможности через анализ потока данных, чтобы искать больше ошибок в приложении, а также находить уязвимости безопасности (SAST).
Присоединиться к тестированию могут все желающие — достаточно оставить заявку на сайте. После этого команда PVS-Studio отправит на почту инструкции по установке и временный лицензионный ключ.
Если вам интересны материалы о разработке анализаторов, предлагаем почитать следующие статьи:
Разработка нового статического анализатора: PVS-Studio JavaScript
Ошибка в коде, на которую приходится не обращать внимание
Популярное браузерное расширение Adblock for YouTube может выполнять произвольный JavaScript‑код на любых сайтах. Как рассказали эксперты компании Island, расширение действительно блокирует рекламу на YouTube, но в его архитектуре есть удалённый механизм для внедрения скриптов, который можно активировать изменением конфигурации на сервере без повторной проверки в магазине и без обновления расширения.
В конце июня 2026 года состоялся релиз njs 1.0.0. Это модуль для интеграции интерпретатора языка JavaScript в http‑сервер nginx. Проект Njs позволяет использовать сценарии JavaScript в файлах конфигурации для расширения возможностей nginx. Скрипты могут использоваться для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответов, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web‑приложениях.
Команда TypeScript выпустила релиз-кандидат TypeScript 7.0. Это важный релиз не из-за пары новых флагов, а из-за смены основы компилятора: кодовую базу перенесли с TypeScript/JavaScript на Go.
Заявка серьёзная: в ряде сценариев TypeScript 7.0 должен работать примерно в 10 раз быстрее TypeScript 6.0. Ускорение появилось не из-за изменения языка, а за счёт скомпилированного кода и более активного использования параллельной обработки.
ИИ-агенты в браузере постепенно переходят от анализа внешней картинки к отладке приложения в рантайме. Chrome DevTools for agents получил экспериментальную поддержку сторонних инструментов разработчика: теперь фреймворки и библиотеки могут отдавать агенту внутренний контекст — компоненты, сигналы, DI-графы и состояние, которое невозможно понять по одному DOM.
Разбираем, как устроен Discovery API, зачем он нужен Angular и React и почему это важный сдвиг для фронтенд-инструментов.