Awal pekan ini cukup ramai bagi developer: PHP mengeluarkan patch darurat untuk dua kerentanan kritis, TanStack AI resmi menyentuh versi 1.0, standar Agent Skills berpindah ke Linux Foundation, Moonshot merilis Kimi K3.1 Pro, dan Node.js merilis update untuk lini Current dan LTS. Berikut ringkasannya.
1. PHP Rilis Patch Darurat: Dua Kerentanan Kritis RCE
Tim keamanan PHP merilis PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada 21 Oktober 2026 untuk menambal dua kerentanan yang diberi nama php2shell: CVE-2026-109618 dan CVE-2026-109619, masing-masing bernilai 9.2 (CVSS v4.0). Keduanya berpotensi memungkinkan remote code execution tanpa autentikasi. Yang menakutkan: kerentanan ini sudah ada sejak PHP lama — Wiz Research menyebut setiap versi PHP satu dekade terakhir (kembali ke 5.4) terpengaruh minimal satu dari kedua bug.
Wiz Research, yang ikut menemukan bug ini, mendemonstrasikan RCE pada kontainer terbaru WordPress, Drupal, dan Joomla, termasuk membaca password, token, dan API key dari memori proses PHP. Rilis ini bahkan dipercepat sehari setelah detail CVE dan video proof-of-concept bocor lebih dulu. PHP menegaskan update adalah satu-satunya fix lengkap; mitigasi sementara bisa dengan menyetel session.upload_progress.enabled = 0 di php.ini lalu restart semua worker. Catatan penting: PHP 8.1 dan lebih lama sudah end of life dan tidak dapat fix resmi. Kalau server atau hosting kamu masih menjalankan PHP lama, sekarang waktunya naik versi. Sumber: advisory resmi PHP dan knowledge base Laravel Forge.
2. TanStack AI 1.0: API Stabil dan Agent Harness Eksperimental
TanStack AI resmi mencapai 1.0 pada 23 Oktober 2026. Kalau dulu library ini cuma berupa fungsi chat() dengan empat provider, sekarang jadi toolkit lengkap untuk chat, tools, media, MCP, persistence, sandbox, dan agent — dengan 23 adapter provider dan dukungan 8 framework UI (React, Vue, Solid, Svelte, Preact, Angular, Octane, Remix, vanilla JS). Prinsip “no lock-in” tetap dipertahankan: provider, framework, dan sandbox tetap pilihan kamu.
Untuk yang sudah pakai versi 0.x, upgrade relatif mulus karena semua API yang sudah deprecated di 0.x sudah dihapus dan tidak ada konsep baru. Satu syarat: client 1.0 harus dipasangkan dengan server 1.0, jadi semua paket stabil @tanstack/ai* harus dinaikkan bersamaan. Sementara paket agent harness yang baru masih eksperimental dan tetap di lini 0.x. Sumber: pengumuman resmi TanStack.
3. Kimi K3.1 Pro: Model Open-Weight 2,8 Triliun Parameter
Moonshot AI merilis Kimi K3.1 Pro pada 23 Oktober 2026, model pertama dalam seri K3.1 yang difokuskan untuk riset keuangan dan coding. Spesifikasinya ambisius: 2,8 triliun parameter total dengan 104 miliar aktif per token, context window 1 juta token, dan harga $2 input / $10 output per juta token — sama dengan GPT-6.1 Sol dan separuh harga Claude Opus 5.5.
Di benchmark coding agent Terminal-Bench 4.0, K3.1 Pro mencetak 65,7%, dan Moonshot mengklaim modelnya mendekati Claude Opus 5.5 untuk coding. Versi Highspeed yang berjalan 2-3 kali lebih cepat juga tersedia. Menariknya, bobot model penuh dijanjikan rilis paling lambat 4 November 2026, dan saat itu diprediksi jadi model open-weights dengan skor tertinggi di Artificial Analysis Intelligence Index (55). Moonshot juga menyatakan menghapus data training terkait peretasan untuk membatasi penyalahgunaan. Sumber: blog resmi Kimi.
4. Standar Agent Skills Resmi Masuk Linux Foundation
Anthropic mendonasikan Agent Skills — standar terbuka untuk memberi AI agent pengetahuan dan workflow spesialis — ke Agentic AI Foundation (AAIF) di bawah Linux Foundation pada 22 Oktober 2026. Donasi ini menyusul MCP yang juga diserahkan ke foundation yang sama. Yang ikut berpindah bukan hanya kode, tapi juga nama, logo, organisasi GitHub, dan domain agentskills.io.
Menariknya, hari yang sama AAIF mengumumkan empat proyek baru: Agent Skills (dari Anthropic), Open Responses (dari OpenAI), OpenEnv (dari Hugging Face), dan OpenSandbox (dari Alibaba). Engineer dari Anthropic, Google, OpenAI, dan perusahaan lain akan memelihara standar tersebut sebagai individu. Artinya, kalau kamu sudah menulis skill untuk Claude Code atau agent lain, formatnya sekarang jadi standar lintas-vendor yang tata kelolanya dipegang konsorsium — bukan satu vendor lagi. Sumber: pengumuman Anthropic dan siaran pers Linux Foundation.
5. Node.js 26.12.1 dan 24.22.1 Rilis Serentak
Tim Node.js merilis update untuk dua lini sekaligus pada 21 Oktober 2026: Node.js 26.12.1 untuk lini Current dan Node.js 24.22.1 untuk lini LTS. Sepekan sebelumnya, 26.12.0 dan 24.22.0 juga sudah lebih dulu dirilis. Kalau kamu maintain service di beberapa versi Node, cek dulu release notes sebelum upgrade — terutama kalau ada perubahan perilaku di lini LTS yang dipakai produksi.
Sumber: blog rilis Node.js 26.12.1 dan Node.js 24.22.1.
Penutup
Buat developer PHP/WordPress/Laravel, berita terpenting minggu ini jelas patch darurat PHP — pastikan versi PHP di server sudah 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 atau setara paket distro, lalu restart PHP-FPM atau Apache. Sisanya? TanStack AI 1.0 dan Agent Skills di Linux Foundation menandai ekosistem AI agent makin matang, sementara Kimi K3.1 Pro menambah pilihan model bertenaga dengan harga bersahabat. Sampai jumpa di rekap berikutnya!
Komentar Terbaru