eMudhra e altre notizie tech, 21 ottobre 2026

In breve: le cinque notizie tech del 21 ottobre 2026 partono da otto certificati intermedi di eMudhra le cui chiavi private erano lunghe, di fatto, un solo byte: chiunque poteva ricavarle e firmare certificati validi per qualsiasi dominio, e browser, Go e Cloudflare li hanno bloccati in fretta. PHP rilascia oggi alle 16:00 ora italiana due patch d'emergenza per falle critiche già trapelate, una zona di Google Cloud a Londra si è spenta per un problema di alimentazione portandosi dietro banche e corrieri, Cloudflare presenta tsrs, un port di TypeScript in Rust, e gli Stati Uniti tolgono DeepSeek dai sistemi delle agenzie federali civili.

Questo è il primo numero dopo qualche giorno di pausa, quindi copre le notizie dal 18 al 21 ottobre che contano ancora oggi. Il filo comune è la fiducia nelle fondamenta: una catena di certificati che regge solo se le chiavi sono casuali davvero, un linguaggio server che metà del web aggiorna in poche ore, una singola zona cloud che basta a fermare servizi pensati per essere ridondanti. Quando una di queste fondamenta cede, chi sviluppa scopre quante dipendenze implicite aveva: trust store copiati nelle immagini Docker, versioni di PHP mai aggiornate, servizi messi in una zona sola perché "tanto è Google".

Il lato positivo è che le risposte sono state rapide. Chrome e Firefox hanno bloccato gli intermedi di eMudhra la sera stessa della segnalazione, Go ha pubblicato una release urgente e PHP ha anticipato di un giorno la data prevista dopo la fuga di notizie. Il lavoro che resta tocca a chi gestisce i propri server: aggiornare i bundle di CA, preparare il rilascio PHP di oggi e chiedersi se la propria architettura sopravvive alla perdita di una zona.

Nel resto del numero ci sono Voxtral 3 di Mistral, DeepInfer di DeepSeek, il firewall dei pacchetti di GitHub, le backdoor nella CLI di OVHcloud e nei siti WordPress collegati a UpdraftCentral, la chiusura di Zeabur e otto novità cloud. Il mercoledì esce anche Cloud e DevOps. L'archivio è in Notizie tech e nei numeri precedenti, l'ultimo uscito è il numero del 17 ottobre. Per chi tiene chiavi e certificati nei repository resta utile la guida su segreti, .env e chiavi API.

Le 5 notizie

eMudhra: otto certificati intermedi compromessi, le chiavi erano di un byte

Fonte: Cloudflare Blog · 20 ottobre 2026

Le chiavi private di otto certificati intermedi dell'autorità di certificazione indiana eMudhra, sei per TLS e due per la firma del codice, erano chiavi P-384 con 47 byte a zero e un solo byte significativo: Scott Helme le ha ricavate tutte in meno di un secondo. Chrome le ha bloccate via CRLSet la sera del 17 ottobre, Firefox via OneCRL poche ore dopo, Mozilla ha poi rimosso la root di eMudhra da NSS. Cloudflare dice di non aver visto sfruttamento sui suoi servizi e ha aggiornato client WARP, 1.1.1.1 e cloudflared.

Perché conta: con quelle chiavi si possono firmare certificati validi per qualsiasi dominio e intercettare traffico. Chi ha trust store propri, immagini Docker o binari con CA incorporate deve aggiornarli: i dettagli tecnici sono nelle notizie cybersecurity di oggi.

PHP: due falle critiche, patch d'emergenza oggi alle 16:00

Fonte: PHP.net · 20 ottobre 2026

Il team di sicurezza di PHP ha annunciato un rilascio straordinario per il 21 ottobre alle 14:00 UTC, le 16:00 in Italia, per due vulnerabilità valutate 9,2 su CVSS 4.0 e non ancora descritte. Le correzioni arriveranno solo sui rami supportati, da 8.2 a 8.5. Secondo watchTowr sono falle di esecuzione di codice da remoto, note come CVE-2026-109618 e CVE-2026-109619, trapelate prima della data prevista; per ora non risultano attacchi.

Perché conta: PHP gira su gran parte dei CMS e degli e-commerce. Chi è ancora su 8.1 o versioni più vecchie non riceverà la patch e deve pianificare l'aggiornamento di ramo.

Google Cloud: un problema di alimentazione spegne una zona di Londra

Fonte: The Register · 20 ottobre 2026

Dalle 06:08 UTC del 20 ottobre la zona europe-west2-b, una delle tre della regione di Londra, ha smesso di funzionare correttamente. Google ha attribuito il guasto a un "power event" e ha indicato come obiettivo il recupero completo per le 13:00 UTC. Sono stati colpiti Cloud Run, GKE, App Engine, Filestore e altri servizi, con effetti su Lloyds, HSBC, Royal Mail, Revolut e DPD.

Perché conta: le regioni hanno più zone proprio per questo, ma molti servizi girano comunque in una sola. Il resoconto completo è in Cloud e DevOps.

tsrs: Cloudflare e VoidZero portano il compilatore TypeScript in Rust

Fonte: Cloudflare Blog · 20 ottobre 2026

Cloudflare, VoidZero e Max Schwenk di Owner.com lavorano a tsrs, un port in Rust del compilatore TypeScript incubato nella toolchain Oxc, in collaborazione con il team di TypeScript. Nei primi benchmark tsrs è fino a 8 volte più veloce e usa circa il 70% di memoria in meno di TypeScript 7.0 a parità di worker; alcune ottimizzazioni sono già finite nella 7.1 beta. Cloudflare precisa che non è un fork e che il linguaggio resta deciso dal team di TypeScript.

Perché conta: il type check è spesso il passaggio più lento di CI ed editor. Un compilatore più leggero apre anche la strada ad ambienti di sviluppo completi nel browser; il contesto è nelle notizie sviluppo di oggi.

Stati Uniti: DeepSeek fuori dai sistemi delle agenzie federali civili

Fonte: Federal Register · 20 ottobre 2026

Un ordine del Dipartimento della Sicurezza Interna, firmato il 24 luglio e pubblicato il 20 ottobre, obbliga le agenzie federali civili a rimuovere i prodotti DeepSeek e quelli di terzi "sviluppati usando implementazioni DeepSeek", e vieta nuovi acquisti. Le eccezioni vanno chieste entro 60 giorni e le valuta la CISA. L'ordine non vale per aziende private e cittadini.

Perché conta: la formula sui prodotti derivati non è definita e può toccare chi vende software alla pubblica amministrazione americana con modelli open weight integrati. Più dettagli in Business tech.

Le sezioni di oggi

• Notizie AI: Voxtral 3, DeepInfer, GPT-6.1 Sol sul codice legacy, Claude e la superficie d'attacco, Meta Muse e quattro paper arXiv
• Notizie sviluppo software: tsrs, firewall dei pacchetti di GitHub, Dependabot con npm 12, curl, Go 1.27.3 e TypeScript 7.1 beta
• Notizie cybersecurity: eMudhra, PHP2Shell, CLI di OVHcloud, UpdraftCentral, Rank Math PRO, PAN-OS e FortiSIEM
• Business tech: DeepSeek, chiusura di Zeabur, Anthropic e i cloud, termini Meta e Vercel, budget software
• Repo GitHub di tendenza: 12 repository, da REA a vLLM
• Cloud e DevOps: Google Cloud a Londra, ECS Gateway, WebSocket su Vercel, TorchTPU, llm-d 1.0

Extra

Tool del giorno: Headroom

headroomlabs-ai/headroom comprime output dei tool, log, file e chunk RAG prima che arrivino al modello, in locale. Si usa come libreria Python o TypeScript, come proxy (headroom proxy --port 8787) o avvolgendo un agente di coding con headroom wrap, e ha anche un server MCP. Licenza Apache 2.0. Utile per chi paga a token sessioni lunghe di agenti che leggono molti log; i risparmi dichiarati sono dell'autore e vanno misurati sul proprio carico.

Concetto in 5 minuti: perché una chiave da un byte si rompe in un istante

Nelle curve ellittiche la chiave privata è un numero d e la chiave pubblica è il punto d × G, dove G è un punto fisso noto a tutti. Calcolare d × G è facile, tornare da d × G a d è considerato impraticabile, ma solo se d è enorme: per P-384 deve essere un numero casuale di 384 bit. Le chiavi di eMudhra avevano 47 byte a zero e un ultimo byte significativo, quindi i valori possibili erano 256. Basta calcolare 1 × G, 2 × G, 3 × G e fermarsi quando il risultato coincide con la chiave pubblica del certificato: al massimo 255 passaggi. Una delle chiavi era proprio il numero 4.

Agenda tech

• 21 ottobre, 16:00: rilascio di sicurezza di PHP per i rami 8.2-8.5
• 26 ottobre: curl inizia a gestire in pubblico le segnalazioni di gravità bassa e media
• 30 ottobre: entrano in vigore i nuovi termini commerciali di Meta
• 12 novembre: cambia il campo business negli eventi di audit del secret scanning di GitHub
• 1 e 31 dicembre: prime chiusure e spegnimento definitivo di Zeabur