Claude Opus 5.5 e altre notizie tech, 22 ottobre 2026

In breve: le cinque notizie tech del 22 ottobre 2026 partono da Claude Opus 5.5, il nuovo modello di punta di Anthropic, che costa il 40% in meno di Opus 5 sui carichi tipici. Escono le patch per le due falle critiche di PHP mentre partono i primi tentativi di sfruttamento, GitLab corregge una falla da 10 su 10 che riguarda dodici anni di release, LiteLLM 1.107.0 viene pubblicato con un ladro di credenziali e i modelli GPT-6 di OpenAI arrivano su Google Cloud.

Il giorno dopo l'allarme PHP, il tema è la catena che porta il codice in produzione. Le falle di PHP sono state trovate con l'aiuto di modelli AI da Calif, OpenAI e Wiz, ma la loro diffusione anticipata ha trasformato un rilascio coordinato in una corsa: la PHP Foundation scrive che i codici CVE hanno iniziato a circolare quasi due giorni prima del rilascio programmato. LiteLLM, la libreria che fa da adattatore verso decine di provider di modelli, è stata compromessa con token OAuth della GitHub CLI rubati a tre ingegneri, cioè con credenziali che sembravano legittime. GitLab, infine, eredita una falla dal motore di espressioni regolari di Ruby, un componente che nessuno pensa di dover aggiornare.

In tutti e tre i casi la difesa che funziona è la stessa: sapere quali versioni girano dove, aggiornare in ore e non in settimane, e trattare i token di sviluppo come segreti di produzione. Non è un caso che GitHub abbia aperto proprio ieri l'anteprima dei token in scadenza per la sua CLI.

Sul fronte dei modelli la concorrenza si gioca sul prezzo: Opus 5.5 taglia del 60% il costo delle letture dalla cache, che sono la voce più pesante nei lavori degli agenti, mentre Google Cloud diventa l'unico grande cloud che offre i modelli chiusi di OpenAI, Anthropic e Google nello stesso catalogo.

Il giovedì esce anche Web e frontend, con Chrome 156 e il nuovo avviso prima delle connessioni HTTP. L'archivio è in Notizie tech e nei numeri precedenti, l'ultimo uscito è il numero del 21 ottobre. Per capire cosa controllare sui server PHP c'è la guida su PHP2Shell e come aggiornare.

Le 5 notizie

Claude Opus 5.5: più forte nel coding agentico e il 40% più economico di Opus 5

Fonte: Anthropic · 22 ottobre 2026

Anthropic presenta Claude Opus 5.5, primo modello della famiglia 5.5. Costa 4 dollari per milione di token in input e 20 in output, il 20% in meno di Opus 5, e 0,20 dollari per le letture dalla cache, il 60% in meno; secondo Anthropic sui carichi tipici il costo totale scende del 40% e l'output è oltre il 30% più veloce. Su Terminal-Bench 4.0 dichiara il 66,4% contro il 52,3% di Opus 5. Sonnet 5.5 e Haiku 5.5 arriveranno nelle prossime settimane.

Perché conta: nei lavori con agenti la cache pesa più dei token nuovi, quindi il taglio sulle letture è quello che si vede in bolletta. I dettagli su sicurezza e accesso sono nelle notizie AI di oggi.

PHP2Shell: escono le patch, e con loro i primi tentativi di attacco

Fonte: The PHP Foundation · 21 ottobre 2026

PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 correggono CVE-2026-109618, una corruzione di memoria quando una richiesta raggiunge il memory_limit, e CVE-2026-109619, un uso di memoria già liberata dopo un errore fatale; con Apache e mod_php l'esecuzione di codice è stata dimostrata senza autenticazione. Secondo SecurityWeek sono uscite anche patch minime per 7.4, 8.0 e 8.1, e watchTowr ha visto i primi tentativi di sfruttamento mentre le patch venivano pubblicate. La PHP Foundation attribuisce la fuga anticipata delle informazioni a Chainguard.

Perché conta: sono esposti PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Chi non ha ancora aggiornato deve farlo oggi; i dettagli sugli attacchi sono nelle notizie cybersecurity di oggi.

GitLab: falla da 10 su 10 senza login, corretta anche su versioni fuori supporto

Fonte: GitLab · 21 ottobre 2026

CVE-2026-110264 è un integer overflow nel compilatore di espressioni regolari che, in certe condizioni, permette a un utente non autenticato di eseguire codice sul server. Le versioni corrette sono 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13: GitLab ha fatto il backport anche su quattro rami fuori dalla normale finestra di supporto. Secondo The Hacker News il difetto sta in Onigmo, il motore regex di Ruby, e riguarda le versioni fino alla 7.0 del 2014.

Perché conta: riguarda solo le installazioni self-managed, perché GitLab.com è già aggiornato. Chi ha aggiornato il 12 ottobre deve aggiornare di nuovo.

LiteLLM 1.107.0 pubblicato con un ladro di credenziali e un backdoor

Fonte: GitHub, BerriAI/litellm · 21 ottobre 2026

Le wheel di LiteLLM 1.107.0 su PyPI e le immagini Docker con i tag latest, main-latest e main-stable contenevano un file .pth che ruba credenziali e un loader di codice remoto. Secondo il responsabile della sicurezza di LiteLLM la release è stata avviata e approvata con token OAuth della GitHub CLI rubati a tre ingegneri. PyPI ha rimosso la versione e le immagini sono state ritirate; la versione sicura indicata è la 1.106.2.

Perché conta: LiteLLM gira accanto alle chiavi API dei provider di modelli e alle credenziali cloud. Chi ha installato la 1.107.0 deve considerare rubati tutti i segreti dell'ambiente e ruotarli.

Google Cloud porta nel suo catalogo i modelli GPT-6 di OpenAI

Fonte: Google Cloud Blog · 21 ottobre 2026

GPT-6 Astra, GPT-6.1 Sol e GPT-6 Luna entrano nel Model Garden di Google Cloud, con acquisto tramite Google Cloud Marketplace. Google dice di essere l'unico grande cloud con i tre principali modelli chiusi, accanto a oltre 200 modelli propri, di terzi e aperti. Secondo Ars Technica i modelli di OpenAI arriveranno nelle prossime settimane anche in Antigravity, lo strumento di coding con agenti di Google.

Perché conta: chi ha già impegni di spesa su Google Cloud può usare GPT-6 senza un nuovo contratto con OpenAI, e confrontare modelli diversi sulla stessa piattaforma. Il contesto di mercato è in Business tech.

Le sezioni di oggi

• Notizie AI: Claude Opus 5.5, nuova versione dell'API di Anthropic, gli agenti OpenAI che spengono il monitoraggio, Flint, Rerank 5, Granite Speech 5.0 e quattro paper arXiv
• Notizie sviluppo software: patch di sicurezza di Node.js e Python, token in scadenza per la GitHub CLI, pnpm 12.15, Mistral Vibe e sette release
• Notizie cybersecurity: GitLab, LiteLLM, PHP2Shell, relay Tor dirottati, Onamae, Lazarus, Signal e il nuovo WAF di Cloudflare
• Business tech: il fondo di Anthropic, le nuove azioni di Meta, la multa da 25 miliardi, Legora, Blacksmith, la pubblicità in ChatGPT e Booking.com
• Repo GitHub di tendenza: 14 repository, dalle skill di Matt Pocock a Strix
• Web e frontend: Chrome 156, avviso prima dell'HTTP, ClickFix, WebKit contro l'identity resolution, WebMCP, React Router 8.5, Astro e Vite

Extra

Tool del giorno: ai-memory

akitaonrails/ai-memory è una memoria a lungo termine condivisa tra agenti di coding: più di venti harness, tra cui Claude Code, Codex, Cursor, Gemini CLI e OpenCode, scrivono nella stessa memoria, così si può chiudere un agente a metà lavoro e riprendere con un altro nella stessa cartella con un riepilogo di cosa è stato fatto e cosa è fallito. È scritto in Rust, licenza MIT. Utile a chi alterna agenti diversi sullo stesso progetto; come per ogni memoria condivisa, conviene controllare cosa ci finisce dentro prima di usarla su codice con segreti.

Concetto in 5 minuti: perché i token che scadono limitano i danni

Un token OAuth classico della GitHub CLI vale finché qualcuno non lo revoca: se viene copiato da un portatile o da un log, chi lo ha può usarlo per mesi. Con i token in scadenza il client tiene due credenziali: un access token che dura poche ore e un refresh token che serve solo a ottenerne uno nuovo e che cambia a ogni rinnovo. Se un attaccante ruba l'access token, la finestra utile si chiude in fretta; se ruba anche il refresh token e lo usa, il client legittimo si ritrova con un token già consumato e il furto diventa visibile. È il meccanismo che GitHub ha appena reso disponibile in anteprima con gh auth login --expiring, dalla versione 2.103.0. Non sostituisce la revoca, ma riduce il valore di un token rubato, che è proprio il modo in cui è stato compromesso LiteLLM.

Agenda tech

• 23 ottobre: scadenza fissata dalla CISA alle agenzie federali per correggere Plex2Shell
• 26 ottobre: curl inizia a gestire in pubblico le segnalazioni di gravità bassa e media
• Fine ottobre: Mistral prevede di pubblicare i pesi di Mistral Large 4
• 3 novembre: chiude il sondaggio annuale degli sviluppatori Go