Pagi ini kita rangkum berita coding, AI, dan web development paling hangat dari 7 hari terakhir — mulai dari Torvalds yang pakai AI nulis patch kernel, ViteConf yang digelar hari ini, sampai celah keamanan kritis yang belum ada patch-nya. Yuk, kita bahas satu per satu.
Linus Torvalds Pakai Claude Code untuk Nulis Patch Kernel Linux
Linus Torvalds mengumumkan 8 patch eksperimental yang ditulis, diuji, dan didraft awal dengan bantuan Claude Code di bawah arahannya (diumumkan 10 Oktober 2026 lewat mailing list). Patch-nya menyentuh memory management: mengubah cara kernel memakai ulang memori yang dilepas dari page cache — reuse ditunda sampai grace period RCU lewat, bukan langsung dikembalikan ke allocator.
Hasil benchmark-nya cetar: untuk test di mana 8 thread membaca file yang sama berulang, throughput naik dari sekitar 10 juta jadi 30–33 juta operasi per detik (sekitar 3x), sementara single-threaded naik sekitar 10%. Catatan penting: branch ini belum di-merge dan Torvalds sendiri mempublikasikan daftar masalah terbukanya — termasuk laporan bahwa ada kasus page fault yang melambat. Buat yang penasaran, baca langsung di ZDNET dan Linuxiac.
Sumber: ZDNET (13 Okt 2026) · Linuxiac · Phoronix
ViteConf 2026 Digelar Malam Ini, 100% Online
ViteConf edisi ke-5 (edisi keempat kalinya digelar online penuh) berlangsung hari ini, 15 Oktober 2026, mulai 22:00 waktu UTC+8. Panitia menyebut Vite kini jadi “default build tool web” dengan lebih dari 150 juta download mingguan di npm — angka yang cukup gila kalau dibandingkan angka 7,5 juta per minggu yang disebut saat pengumuman Vite 5.
Lineup pembicaranya berisi nama-nama besar ekosistem JS: Evan You (VoidZero), Rich Harris (Svelte), Ryan Carniato (Solid), Alex Rickabaus (Angular), Daniel Roe (Nuxt), Sarah Rainsberger dan Pooya Parsa (Astro/Nitro), sampai Eric Simons (Bolt). Kalau biasanya susah hadir konferensi karena timezone, ini kesempatan bagus — 100% online dan bisa ditonton dari mana saja. Tonton langsung di situs resminya.
Sumber: viteconf.org · Blog Vite
Node.js Rilis 24.22.0 (LTS) dan 26.12.0, plus Security Release 21 Oktober
14 Oktober kemarin Node.js merilis dua versi sekaligus: 24.22.0 untuk jalur LTS “Krypton” dan 26.12.0 untuk jalur Current. Di jalur Current, ada helper untuk masking WebSocket, pesan error yang lebih jelas untuk WebAssembly, dan progres loading ESM sinkron. Ingat juga: Node 26 dijadwalkan masuk LTS pada Oktober 2026 ini, jadi sekarang waktu yang tepat buat mulai nyicil upgrade dari Node 24.
Yang lebih penting buat tim DevOps: blog resmi Node.js juga mengumumkan security release pada Rabu, 21 Oktober 2026 untuk baris rilis 26.x, 24.x, dan 22.x. Severity tertinggi yang akan diperbaiki disebut HIGH di ketiga jalur. Kalau server produksimu pakai Node, tandai kalender itu dan siapkan upgrade window minggu depan.
Sumber: Node.js Blog — 24.22.0 · Node.js Blog — 26.12.0 · Pengumuman Security Release 21 Okt 2026
CVE-2026-105192: Celah Kritis di LMCache (Cache LLM) Belum Ada Patch
Buat yang mengoperasikan stack inference LLM (vLLM dkk), ini harus dibaca: CVE-2026-105192, celah RCE tanpa autentikasi di LMCache dengan skor CVSS 9.8. Inti masalahnya — LMCache mode multiprocess (distributed) membuka ZeroMQ ROUTER tanpa autentikasi (default port 5555) supaya worker bisa saling registrasi dan berbagi blok KV cache. Pesan di socket itu diproses lewat deserialization pickle, jadi siapa pun yang bisa menjangkau socket-nya bisa menjalankan kode sembarangan.
Versi yang terdampak: 0.3.9 sampai 0.5.5, plus release candidate 0.5.6 dan development branch. Per 7 Oktober, JFrog Security Research melaporkan belum ada rilis perbaikan — dan PoC exploit-nya sudah beredar publik di GitHub. Mitigasi sementara: jangan exposer port ZMQ LMCache ke jaringan yang tidak dipercaya (default bind localhost membatasi eksploitasi remote, tapi tetap waspada kalau ada misconfiguration). Detail lengkap ada di advisory GitHub dan laporan The Hacker News.
Sumber: PoC & advisory di GitHub · The Hacker News · Detail CVE
Tinypool Juga Kena: Prototype Pollution Bisa Jadi RCE (Fixed di 2.1.2)
Satu lagi advisory buat ekosistem Node.js: CVE-2026-104849 di Tinypool — library worker thread minimalis yang dipakai luas, termasuk di tooling sekitar Vitest. Celahnya berupa prototype pollution yang bisa “didorong” jadi eksekusi JavaScript milik attacker: kalau Object.prototype.filename sudah dipollute, worker pool akan load file JS yang dipilih attacker saat pool.run(task, options) dipanggil, dengan privileges dari host process.
Kabar baiknya versi aman sudah tersedia: perbaikan masuk di Tinypool 2.1.2. Langkah praktisnya cuma satu — jalankan npm audit / npm ls tinypool di project-mu, dan pastikan dependency tree-mu resolve ke 2.1.2 atau lebih baru. Advisory lengkap bisa dicek di GitLab Advisory Database dan halaman CVE-nya.
Sumber: GitLab Advisory Database · dbugs (Patchstack) · Rapid7
Penutup
Perubahan besar minggu ini ada di dua sisi: AI coding assistant makin masuk ke proyek paling kritis di dunia (kernel Linux), sementara di sisi infrastruktur LLM justru muncul celah keamanan serius yang belum tertambal. Kalau kamu operator stack LLM atau maintainer library Node, dua advisory di atas layak ditangani hari ini. Sampai ketemu di rangkuman minggu depan!
Komentar Terbaru