Genie 4 e altre notizie tech, 28 ottobre 2026

In breve: le cinque notizie tech del 28 ottobre 2026 partono da Google DeepMind, che presenta Genie 4, un modello di mondo interattivo in tempo reale che genera anche musica, rumori e dialoghi, e da CVE-2026-97631, una falla da 9,5 nel driver per l'avvio da rete di EDK II, il codice alla base del firmware UEFI di quasi tutti i produttori, resa pubblica prima della data concordata. Per PHP2Shell gli honeypot registrano le prime shell funzionanti e la CISA mette nel KEV anche Magento e Brotli. CPython si prepara a togliere il compilatore JIT sperimentale e Google porterà le sue TPU su Oracle Cloud dal 2027.

Il filo del mercoledì è il codice che non si vede. Il firmware di un server gira prima del sistema operativo e di Secure Boot, e una falla lì resta aperta finché ogni produttore non distribuisce il proprio aggiornamento: con la correzione già pubblica, l'unica difesa immediata è spegnere l'avvio da rete dove non serve.

PHP2Shell mostra la stessa dinamica a un livello più alto. Una settimana dopo la divulgazione, Wiz conta circa due terzi di macchine vulnerabili in meno, ma chi resta indietro diventa il bersaglio di attacchi che ora funzionano davvero, e l'ingresso nel catalogo KEV lo conferma.

Il JIT di CPython è un caso diverso: nessuna falla, solo una funzione sperimentale che non ha trovato un piano condiviso per diventare stabile. Chi sceglie l'interprete in base alla velocità attesa deve ripartire dalle misure sulle versioni stabili, non dalle promesse.

Le altre notizie sono nelle sezioni qui sotto. L'archivio è in Notizie tech e nei numeri precedenti, l'ultimo uscito è il numero del 27 ottobre. Per PHP2Shell c'è la guida su come controllare e aggiornare PHP, e per far girare in proprio i modelli quella su Ollama e vLLM.

Le 5 notizie

Google DeepMind presenta Genie 4, il modello di mondo con audio

Fonte: Google DeepMind · 27 ottobre 2026

Genie 4 simula mondi interattivi in tempo reale e genera insieme al mondo anche musica, rumori ambientali e dialoghi. Si appoggia a Gemini Omni per l'aspetto e il comportamento realistici e ad altri modelli Gemini per mantenere coerente la simulazione. Parte come anteprima di ricerca per un gruppo di tester fidati, poi arriverà agli abbonati AI Ultra in Project Genie e in accesso anticipato su Gemini API e AI Studio.

Perché conta: i modelli di mondo servono a generare ambienti di addestramento per agenti e robot; l'accesso via API li porta fuori dai laboratori. I dettagli sono nelle notizie AI di oggi.

UEFI, una falla da 9,5 nell'avvio da rete di EDK II

Fonte: TianoCore, Ars Technica · 27 ottobre 2026

CVE-2026-97631 è un buffer overflow vecchio di 16 anni nel driver PXE di EDK II: un messaggio di errore ICMP troppo lungo, inviato alla macchina durante l'avvio da rete, scrive dati dell'attaccante oltre il buffer. Secondo Ars Technica permette di eseguire codice prima del sistema operativo e di Secure Boot. La divulgazione era prevista per gennaio, ma una correzione pubblicata in anticipo da AMI ha costretto TianoCore ad anticipare l'avviso.

Perché conta: gli aggiornamenti firmware arrivano lentamente dai singoli produttori; nel frattempo conviene disattivare l'avvio da rete dove non serve. I dettagli sono nelle notizie cybersecurity di oggi.

PHP2Shell, prime shell negli honeypot e Magento e Brotli nel KEV

Fonte: SecurityWeek, CISA, Wiz · 26-27 ottobre 2026

Il ricercatore Adel Karimi ha registrato il 24 ottobre 35 shell avviate su tre honeypot con PHP 8.4.26, mentre Wiz vede un calo di circa il 67% delle macchine esposte vulnerabili. La CISA ha messo PHP2Shell nel KEV il 26 ottobre e il giorno dopo ha aggiunto la falla di caricamento file di Magento CVE-2026-48356 e quella di Brotli CVE-2026-111497.

Perché conta: per tutte e tre c'è ora evidenza di attacchi reali, quindi l'aggiornamento non si rimanda.

Il JIT sperimentale di CPython verso l'uscita

Fonte: LWN.net · 26 ottobre 2026

Il compilatore just-in-time, entrato in CPython 3.13, sta per essere rimosso. A giugno lo steering council aveva sospeso il lavoro sul ramo principale in attesa di una PEP su manutenzione, compatibilità, metriche e tempi; i manutentori del JIT hanno ritirato la proposta.

Perché conta: chi contava sul JIT per guadagni di velocità non deve aspettarsi una funzione stabile a breve. Il resto è nelle notizie sviluppo di oggi.

Le TPU di Google arrivano su Oracle Cloud dal 2027

Fonte: Google Cloud Blog · 27 ottobre 2026

Google e Oracle porteranno le Tensor Processing Unit su Oracle Cloud Infrastructure, il primo hyperscaler fuori da Google a offrirle, con capacità a partire dall'anno solare 2027.

Perché conta: l'acceleratore di Google esce per la prima volta dal suo cloud. Il resto è nelle notizie business di oggi.

Le sezioni di oggi

• Notizie AI: Genie 4, Anthropic su farmaci e scelte degli esperti, LFM3, la moderazione nelle API di Grok, la system card di GPT-6.1 Terra, Gemini Robotics ER 2, MoE su DGX Spark, gli autori di Stanford e quattro paper arXiv
• Notizie sviluppo software: il JIT di CPython, Ghostty 1.4.0, DMA-BUF e io_uring in Linux 7.4, il parsing HTTP in eBPF di Beeper, Moxnox 1.0, Copilot e Codex, sette release e lo stato dei runtime
• Notizie cybersecurity: UEFI EDK II, il KEV, PHP2Shell, Tailscale SSH, Apple, Microsoft Authenticator, GoAhead, Convertr, Warp, Keystone, Amadey, ENGIE, Denver Health ed eMudhra
• Business tech: SK Hynix, TPU su Oracle Cloud, Anthropic e la GSA, il Delaware e le società gestite da AI, gli store Android registrati, Discord, Roblox, Ndoc e il MacBook Pro con M6
• Cloud e DevOps: GPU condivise su ECS e Kubernetes, Workflows per giurisdizione, Access, Aurora Serverless a 384 ACU, ECR, Vercel e VMware su Google Cloud
• Repo GitHub di tendenza: 12 repository, da DeepTutor ad ai-design-skills e Auto Ontology

Extra

Tool del giorno: Ghostty 1.4.0

Ghostty è un terminale open source per macOS e Linux. La versione 1.4.0, frutto di 2.889 commit di 172 contributori, implementa per intero il protocollo grafico di Kitty, animazioni comprese, migliora prestazioni, memoria e integrazione SSH e corregge diverse falle che si attivavano mostrando output non fidato, come un nome di cartella costruito per inviare sequenze di escape all'integrazione con zsh.

Concetto in 5 minuti: condividere una GPU

Una GPU si può dividere in tre modi. MIG la spezza in istanze isolate a livello hardware. Il time-slicing fa lavorare più processi a turno, ma finora senza limiti di memoria: un processo che ne prende troppa può far cadere gli altri. Il Multi-Process Service di NVIDIA, o MPS, fa girare più processi in contemporanea in spazi di indirizzi separati. Da ieri Amazon ECS usa MPS per mettere più task sulla stessa GPU, e CUDA 13.4 aggiunge limiti di memoria imposti dal driver, con minimi garantiti e massimi espandibili, che il GPU Fractioning Operator applica ai pod Kubernetes.

Agenda tech

• 4 novembre: Moonshot rilascia i pesi completi di Kimi K3.1 Pro
• 12-13 novembre: SGLang Summit 2026 a San Francisco
• 16 novembre: i server pubblici di Discord ricevono le Server Web Pages
• 17-20 novembre: Microsoft Ignite 2026
• Dal 2027: prime TPU di Google su Oracle Cloud