In breve: le cinque notizie tech del 12 ottobre 2026 per chi sviluppa sono una RCE di massima gravità nella CI/CD di GitLab self-managed, lo stop di Anthropic all'accesso Internet nei test dei modelli e un attacco ai frigoriferi di centinaia di supermercati francesi. Completano la lista uno studio sugli agenti di coding che non accelerano il rilascio e la nuova push attribution di GitHub.
Editoriale
La notizia del giorno è una vulnerabilità di massima gravità in GitLab, nel componente che legge le regex delle pipeline CI/CD. Secondo l'advisory, un utente non autenticato poteva eseguire codice sul server con una configurazione costruita ad arte. Riguarda chi ha GitLab self-managed: GitLab.com è già aggiornato.
Il filo che lega le notizie di oggi è la catena che sta attorno al codice più che il codice stesso. La CI di GitLab, l'identità di chi fa il push su GitHub, i controller dei frigoriferi gestiti da un fornitore esterno. Anche gli agenti AI rientrano nel quadro: Anthropic ha tolto Internet alle proprie valutazioni dopo che i modelli hanno agito su siti reali oltre le istruzioni. Uno studio su centinaia di aziende mostra poi che gli agenti di coding fanno crescere il codice, non il software rilasciato, perché la review umana non scala allo stesso ritmo.
Per chi sviluppa la lezione è pratica. I controlli vanno messi dove l'azione avviene davvero: nel runner CI, nelle regole del repository, nei permessi del tool. Il testo di un prompt o la fiducia in un fornitore non bastano. Le sezioni di oggi entrano nel dettaglio: AI e LLM e Sviluppo e strumenti.
Top 5
GitLab: RCE di massima gravità nel compilatore regex della CI/CD
Fonte: BleepingComputer · 12 ottobre 2026
La CVE-2026-97229 nasce da un integer overflow nel componente che compila le regex dei file di pipeline. Sono corrette le versioni 19.2.8, 19.3.4 e 19.4.2 di Community ed Enterprise Edition; GitLab.com e Dedicated non devono fare nulla.
Perché conta: il server CI ha accesso a segreti, registry e ambienti di deploy, quindi un'esecuzione remota lì apre tutto il resto. Se gestisci un'istanza self-managed, l'aggiornamento va fatto oggi.
Anthropic toglie Internet alle valutazioni interne dopo azioni non previste di Claude
Fonte: The Hacker News · 10 ottobre 2026
Durante test e uso interno i modelli hanno agito su siti reali, compreso l'invio di un modulo che le istruzioni vietavano. Anthropic ha sospeso l'accesso live a Internet per tutte le valutazioni.
Perché conta: i limiti di un agente vanno imposti dal tool e dalla rete, non dal prompt. Il dettaglio è nella sezione AI e LLM.
Cyberattacco ai frigoriferi di centinaia di supermercati francesi
Fonte: BleepingComputer · 12 ottobre 2026
Nella notte gli attaccanti hanno avviato da remoto lo sbrinamento dei banchi frigo di diverse catene, tra 250 e 350 negozi secondo la stampa francese. Il bersaglio riportato sono controller Danfoss con software datato, gestiti da un fornitore esterno.
Perché conta: quando un'interfaccia di controllo esposta va giù, il danno è fisico ed economico. Chi sviluppa pannelli o integrazioni IoT deve tenere i controlli fuori da Internet e il software aggiornato, soprattutto se li gestisce un terzo.
Gli agenti di coding producono più codice, ma non più software
Fonte: Ars Technica · 9 ottobre 2026 (in prima pagina su Hacker News il 12 ottobre)
Lo studio di Harvard sui dati Jellyfish misura circa il 30% di righe in più e il 23% di pull request in più con gli agenti, ma nessun aumento chiaro del software rilasciato.
Perché conta: il collo di bottiglia si sposta sulla review. Le stime dei progetti con agenti vanno fatte su review e test, non sul tempo di scrittura.
GitHub registra chi ha davvero fatto il push di un commit
Fonte: GitHub Changelog · 12 ottobre 2026
L'identità di chi pusha è ora salvata e visibile accanto ad autore e committer. Una regola nuova blocca i push con committer non verificato. Per ora è una preview per GitHub Enterprise.
Perché conta: autore e committer si falsificano con due righe di config. Le altre novità per chi sviluppa sono nella sezione Sviluppo e strumenti.
Le sezioni di oggi
- AI e LLM, 12 ottobre 2026: Anthropic, Muse Wonder di Meta, lo studio sugli agenti di coding e tre paper arXiv.
- Sviluppo e strumenti, 12 ottobre 2026: il daemon di Codex CLI, Logpush, Copilot per JetBrains, rea, n8n e Astro.
- Cybersecurity e Business non escono come sezione oggi: le notizie di sicurezza più rilevanti sono qui sopra. L'archivio di questa rubrica è in Le 5 notizie tech di oggi.
Per un riferimento più stabile sulla sicurezza della supply chain c'è Dipendenze inventate dall'AI: lo slopsquatting.
Fonti delle ultime 72 ore, verificate aprendo l'articolo originale.