In breve: le cinque notizie tech del 15 ottobre 2026 per chi sviluppa partono da Next.js, che con le versioni 16.4.1 e 15.5.28 corregge due falle critiche di esecuzione remota di codice senza login, insieme a una falla simile nei React Server Components. curl 8.23.0 chiude la prima vulnerabilità High dal 2023, Linus Torvalds pubblica la sua prima serie di patch scritta con un LLM mentre il kernel elimina l'obbligo del tag Assisted-by, Liquid AI rilascia un modello da 24 miliardi di parametri con 2 attivi e Gartner calcola che all'AI mancano quasi 5.000 miliardi di ricavi.
Editoriale
La giornata si apre con un aggiornamento da fare prima di tutto il resto. Next.js corregge due falle critiche che permettono di eseguire codice sul server senza login, una legata a use cache e una alla libreria delle immagini su Linux, e React corregge una falla dello stesso tipo nei pacchetti dei Server Components. Lo stesso giorno curl rilascia la 8.23.0 per un bug negli upload HTTP/2, e Node.js annuncia patch di sicurezza per il 21 ottobre. Per chi tiene in piedi applicazioni web è una settimana di aggiornamenti, non di novità.
Il secondo tema è l'AI dentro il processo di sviluppo, vista da vicino. Torvalds manda in revisione dieci patch scritte con l'aiuto di un modello linguistico, la review trova subito una race condition, e i maintainer decidono che dichiarare l'uso dell'AI non serve: conta che chi firma capisca il codice. Un paper arXiv misura che i riepiloghi degli agenti di coding trasmettono solo il 52% di quello che è successo davvero. La lezione è la stessa da due direzioni: l'AI accelera la scrittura, la verifica resta un lavoro umano.
Il terzo è il costo. Liquid AI dimostra che un modello con 2 miliardi di parametri attivi può competere con modelli più grandi e girare veloce su un portatile, mentre Gartner calcola che gli investimenti in infrastruttura AI richiederebbero più del doppio dei ricavi previsti. Se quei conti non tornano, i prezzi bassi di oggi potrebbero non durare, e i modelli piccoli che girano in locale diventano una copertura concreta.
Infine la sicurezza degli agenti. La sfida di Vercel sulla Sandbox ha trovato una zero-day nel kernel Linux, e gli esperti sentiti da CSO Online dicono che gli agenti "fuori controllo" sono falle di contenimento di base. Oggi le sezioni sono sei, con quasi cinquanta notizie verificate e tredici repository di tendenza: l'indice è in fondo, prima dell'Extra.
Le 5 notizie più importanti
Next.js e React correggono falle critiche di esecuzione di codice
Fonte: blog di Next.js · 14 ottobre 2026
Next.js 16.4.1 e 15.5.28 correggono due falle critiche: la GHSA-673q-mjm6-r5xr colpisce le app con App Router e Cache Components quando una funzione use cache restituisce più typed array, la CVE-2026-96889 colpisce le immagini SVG dell'Image Optimization API su Linux con glibc. Una terza falla permette un denial of service sulle app con Server Action. Lo stesso giorno React ha pubblicato l'advisory GHSA-xqc2-xf4c-x3h3 per i pacchetti dei Server Components, corretta nelle versioni 19.0.9, 19.1.10, 19.2.9 e 19.3.1.
Perché conta: sono falle sfruttabili senza autenticazione e per la prima non c'è workaround: l'aggiornamento va fatto oggi. Comandi e dettagli sono in Web e frontend di oggi.
curl 8.23.0 corregge la prima falla High dal 2023
Fonte: advisory di curl · 14 ottobre 2026
La CVE-2026-92392 colpisce curl e libcurl dalla 8.12.0 alla 8.22.0: un server malevolo che riceve un upload via HTTP/2 può corrompere la memoria del client, e il ricercatore ha dimostrato l'esecuzione di codice. curl ha anticipato di due settimane il rilascio per correggerla.
Perché conta: libcurl è dentro linguaggi, programmi e immagini di container. Vanno aggiornati i pacchetti di sistema e ricostruite le immagini, come spiegato nelle notizie cybersecurity di oggi.
Torvalds pubblica patch scritte con un LLM, il kernel elimina il tag Assisted-by
Fonte: LWN.net e The Register · 14 ottobre 2026
Torvalds ha mandato in revisione dieci patch che velocizzano di un ordine di grandezza un benchmark con molte read(), scritte con l'aiuto di un modello linguistico; la review ha già trovato una race condition. Al Maintainers Summit, secondo The Register, è emerso il consenso per deprecare il tag Assisted-by introdotto a gennaio.
Perché conta: la responsabilità resta su chi invia la patch, e la review resta il filtro. Il racconto completo è nelle notizie sviluppo software di oggi.
Liquid AI rilascia LFM2.5-24B-A2B con pesi aperti
Fonte: blog di Liquid AI · 13 ottobre 2026
Il modello ha 24 miliardi di parametri ma ne usa 2 per token, ha un contesto di 131.072 token e secondo Liquid gira a 184 token al secondo su un Apple M5 Max, competitivo con Qwen3.6-35B-A3B in cinque benchmark agentici su otto. È un modello di solo ragionamento, disponibile su Hugging Face.
Perché conta: è un candidato serio per agenti che girano in locale, purché si misuri la latenza con il ragionamento incluso. Gli altri modelli e i paper del giorno sono nelle notizie AI di oggi.
Gartner: all'AI mancano quasi 5.000 miliardi di ricavi
Fonte: The Register · 14 ottobre 2026
Gartner stima circa 1.000 miliardi di dollari di spesa in infrastruttura AI nel 2026 e altri 6.000 tra il 2027 e il 2030: per un ritorno del 12% servirebbero 8.500 miliardi di ricavi annui contro i 3.600 previsti. Secondo l'analista l'80% dei neocloud non sopravviverà in modo indipendente oltre il 2030.
Perché conta: dipendere da un solo fornitore di GPU o di modelli è un rischio di business oltre che tecnico. Il contesto di mercato è nelle notizie business tech di oggi.
Le sezioni di oggi
- Notizie AI e LLM, 15 ottobre 2026: LFM2.5-24B-A2B, Nemotron 3.5 Lightning gratis su Vercel, le cause degli stati contro OpenAI, la zero-day trovata nella Vercel Sandbox, i filtri delle immagini aggirati e cinque paper arXiv con PDF.
- Notizie sviluppo software, 15 ottobre 2026: le patch di Torvalds scritte con un LLM, il tag Assisted-by, Go 1.27, i lockfile di GitHub Actions, Python 3.16 alpha 1, pg_vectorsearch e cinque release.
- Notizie cybersecurity, 15 ottobre 2026: Cisco Secure Email Gateway, PAN-OS, curl, Vghost nel kernel, Nextcloud e Collabora, SmartScreen, i wallet Ledger e le laptop farm chiuse negli Stati Uniti.
- Business tech e freelance, 15 ottobre 2026: il costo del Cloud Act europeo secondo CCIA, i conti di Gartner sull'AI, i dati di Character.AI, le etichette AI di YouTube Music e Deezer e il launcher di Epic.
- Repo GitHub di tendenza, 15 ottobre 2026: iFixAi, context-mode, Orca e altri dieci repository con linguaggio, stelle e perché sono interessanti.
- Web e frontend, 15 ottobre 2026: le falle di Next.js e React, SvelteKit 3.1, Vue 3.5.44, Nuxt 4.6.1, le passkey e il 3D in LittleJS.
Tutte le sezioni sono in Notizie tech, l'archivio di questa rubrica è in Le 5 notizie tech di oggi e il numero di ieri è Le notizie tech del 14 ottobre.
Extra
Tool del giorno: chrome-devtools-mcp
Fonte: GitHub · di tendenza tra i repository TypeScript il 15 ottobre 2026
Il server MCP ufficiale dei Chrome DevTools permette a un agente di coding di controllare e ispezionare un Chrome vero tramite Puppeteer: navigazione, console, rete e tracce di performance. Licenza Apache-2.0, 53.559 stelle.
Perché conta: un agente che vede la console e la rete corregge i bug frontend molto più in fretta. Il README avverte che il contenuto del browser è esposto ai client MCP, quindi meglio un profilo senza dati personali; le statistiche d'uso si disattivano con --no-usage-statistics e l'invio di URL a CrUX con --no-performance-crux.
Concetto in 5 minuti: keep-alive e riuso delle connessioni HTTP/1
Lo spunto è il post del blog di Go su Go 1.27. Con HTTP/1.1 la connessione resta aperta dopo una risposta e può servire la richiesta successiva, evitando di rifare l'handshake TCP e TLS, che con un server lontano costa diversi round trip. C'è però un vincolo: la risposta precedente va letta fino in fondo, altrimenti i byte rimasti bloccano la connessione e il client deve chiuderla. Per questo in Go si consigliava di svuotare il body prima di chiuderlo; da Go 1.27 il Transport lo fa da solo, entro 50 millisecondi o 256 KB.
Perché conta: quando un client chiama tante volte la stessa API, il riuso delle connessioni pesa più della velocità del server. Lo stesso principio vale per i pool di connessioni di Node.js, Python e degli altri linguaggi.
Agenda tech
- 16 ottobre 2026: scade il termine fissato da CISA alle agenzie federali americane per correggere la falla di Ivanti Connect Secure aggiunta al catalogo KEV, secondo The Hacker News.
- 21 ottobre 2026: release di sicurezza di Node.js per le linee 26.x, 24.x e 22.x.
- 23 ottobre 2026: su Vercel parte la cancellazione dei deployment più vecchi di 30 giorni per i team Pro, se non si cambia prima la Deployment Retention Policy.
- 28-29 ottobre 2026, San Francisco e online: GitHub Universe 2026, la conferenza annuale di GitHub.
- 10 novembre 2026: in calendario Python 3.16.0 alpha 2.
- 19-20 novembre 2026, Roma: ITDevCon 2026, conferenza italiana per sviluppatori.
Notizie dal 13 al 15 ottobre 2026.