Ty patche do browserů jsou hlavně o stížení napadení, útočník potřebuje například velmi přesný časovač, který ty patche odstraňují (Chrome i Safari znepřesnili časovače na 1 milisekundu). Pak se tam dělají další úpravy které znemožní konkrétní útoky, například použití operátoru bitové and u spekulace na array bounds a podobné. Celkem pěkný článek s JavaScript příklady je:
https://webkit.org/blog/8048/what-spectre-and-meltdown-mean-for-webkit/