tsrs in Rust e notizie sviluppo, 21 ottobre 2026

In breve: il 21 ottobre 2026 le notizie di sviluppo partono da tsrs, il port in Rust del compilatore TypeScript che Cloudflare e VoidZero incubano nella toolchain Oxc: nei primi test è fino a 8 volte più veloce di TypeScript 7.0. GitHub mette in public preview un firewall per i pacchetti npm che filtra le installazioni di runner e agenti, Dependabot supporta npm 12, pnpm 12 e Bun 1.4, curl sposta in pubblico le segnalazioni di gravità bassa e media e Go 1.27.3 blocca le chiavi compromesse di eMudhra. Lo status: Node 26.12.0 Current e 24.22.0 LTS, TypeScript 7.0.2 stabile e 7.1 beta, Python 3.15.0, Flutter 3.47.7 stable e 3.50 beta.

Otto notizie su linguaggi, runtime e tooling dal 18 al 21 ottobre, più sei release. Browser e framework frontend sono in Web e frontend il giovedì, le piattaforme cloud in Cloud e DevOps. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie sviluppo software e l'ultima uscita nelle notizie sviluppo del 17 ottobre. Sul rischio dei pacchetti installati senza controllo resta attuale il pezzo sulle dipendenze inventate dall'AI.

Linguaggi, runtime e tooling

tsrs: un port in Rust del compilatore TypeScript, senza fork

Fonte: Cloudflare Blog · 20 ottobre 2026

Cloudflare e VoidZero lavorano con Max Schwenk di Owner.com a tsrs, port in Rust del compilatore TypeScript incubato in Oxc e sviluppato insieme al team di TypeScript. Nei primi benchmark è fino a 8 volte più veloce e usa circa il 70% di memoria in meno di TypeScript 7.0 con lo stesso numero di worker; TypeScript 7.1 beta, che ha già ricevuto alcune ottimizzazioni nate in tsrs, è fino a 2,5 volte più veloce della 7.0. Cloudflare ribadisce che il design del linguaggio resta al team di TypeScript.

Perché conta: type check più rapidi accorciano CI ed editor sui monorepo grandi. Il port deve inseguire fedelmente il compilatore originale: prima di adottarlo serve verificare che diagnostica e risultati coincidano sui propri progetti.

GitHub package firewall: le installazioni npm passano da un filtro

Fonte: GitHub Changelog · 20 ottobre 2026

Il nuovo firewall dei pacchetti si mette tra runner di Actions o agenti di coding e i registry, ispezionando sia le richieste di metadati sia i download. Gli amministratori possono imporre un periodo di attesa per le versioni appena pubblicate, bloccare pacchetti con avvisi di malware o vulnerabilità nel GitHub Advisory Database e controllare il downgrade delle attestazioni. È in public preview gratuita per GitHub Enterprise Cloud e per ora supporta solo npm; in GA sarà a consumo, come Actions.

Perché conta: molti attacchi recenti rubano credenziali già durante l'installazione. Un cooldown di qualche giorno sulle nuove versioni ferma gran parte dei pacchetti malevoli prima che arrivino in CI.

Dependabot supporta npm 12, pnpm 11 e 12 e Bun 1.4

Fonte: GitHub Changelog · 20 ottobre 2026

Chi aggiorna i progetti a npm 12, pnpm 11 o 12 o Bun 1.4 continua a ricevere gli aggiornamenti di Dependabot. Il supporto vale per tutti gli utenti di github.com e arriverà in GitHub Enterprise Server 3.24. Lo stesso giorno l'API REST degli alert di Dependabot ha iniziato a restituire anche le versioni delle dipendenze.

Perché conta: finora passare a un package manager nuovo poteva significare perdere le PR automatiche di sicurezza. Ora si può aggiornare il lockfile senza restare scoperti.

Secret scanning di GitHub: revoca dei token in Base64 e cambio negli audit log

Fonte: GitHub Changelog · 20 ottobre 2026

Dal 12 novembre 2026 il campo business degli eventi di audit secret_scanning_alert.* e secret_scanning_push_protection.bypass conterrà lo slug dell'enterprise invece del nome visualizzato. Nei repository privati e interni l'azione di revoca, in public preview, ora riconosce anche token GitHub codificati in Base64: PAT classici e fine-grained, token OAuth e token utente delle GitHub App. Gli alert dei pattern personalizzati restano aperti se una nuova scansione li trova ancora.

Perché conta: chi filtra gli audit log per nome dell'enterprise deve aggiornare script e SIEM entro il 12 novembre, o usare business_id.

Git su HTTPS: GitHub può chiedere l'autenticazione anche per i repo pubblici

Fonte: GitHub Changelog · 19 ottobre 2026

Durante picchi di traffico anomalo GitHub può richiedere temporaneamente l'autenticazione per alcuni clone e fetch di repository pubblici via HTTPS; l'operazione fallisce con un messaggio esplicito. GitHub dice che la misura è applicata nel modo più mirato possibile ma può colpire anche traffico legittimo, e consiglia di autenticare i clone automatici, preferibilmente con un token di installazione di una GitHub App.

Perché conta: pipeline e script che clonano repo pubblici senza credenziali possono fallire senza preavviso. Conviene aggiungere un token o un retry con attesa.

Copilot: ritirati sei modelli e nuova API per le policy dei modelli

Fonte: GitHub Changelog · 19 ottobre 2026

Dal 19 ottobre GitHub ha ritirato da chat, edit, agent mode e completamenti di Copilot sei modelli: Gemini 3.7 Flash, GPT-5.5, GPT-5.4, GPT-5.4 mini, GPT-5 mini e Grok 4.5, indicando come sostituti Gemini 3.8 Flash, GPT-6.1 Sol, GPT-6 Luna e Grok 4.7. Gli amministratori Enterprise possono dover abilitare le alternative nelle policy. Lo stesso giorno sono arrivati in GA gli endpoint REST GET e PATCH per gestire le policy dei modelli a livello di enterprise, team, app agente e organizzazione.

Perché conta: workflow e prompt tarati su un modello ritirato cambiano comportamento. Con la nuova API le policy si possono versionare e applicare da script invece che a mano.

curl: dal 26 ottobre le vulnerabilità minori si segnalano in pubblico

Fonte: Daniel Stenberg · 20 ottobre 2026

Dal 26 ottobre le segnalazioni di gravità bassa o media vanno aperte come issue pubbliche nel repository GitHub di curl; solo quelle alte e critiche restano private su HackerOne. Stenberg spiega che negli ultimi anni oltre il 90% delle segnalazioni si è rivelato sotto la soglia HIGH e che la decisione nasce dalla "valanga" di report, molti generati con l'AI. Quest'anno il progetto aveva già chiuso il bug bounty.

Perché conta: è un segnale di quanto il volume di report automatici pesi sui manutentori open source. Chi usa libcurl vedrà più problemi minori discussi in chiaro e dovrà seguire le issue del progetto.

Go 1.27.3 e 1.26.10 bloccano otto chiavi di CA compromesse

Fonte: Go release history · 19-20 ottobre 2026

Go 1.27.3 e 1.26.10 contengono correzioni di sicurezza a crypto/x509: il verificatore rifiuta qualsiasi catena che passi da una di otto chiavi di CA intermedie, identificate solo tramite hash SHA-256. Il filtro lavora sulla chiave pubblica, quindi blocca anche le copie cross-signed, e si applica anche ai percorsi che delegano la verifica a macOS e Windows. Un commentatore ha associato gli hash agli intermedi di eMudhra.

Perché conta: i binari Go portano con sé la logica di verifica, quindi vanno ricompilati con la nuova versione. Lo stesso vale per tool come uv, che nella 0.13.4 aggiorna i certificati radice inclusi.

Repository e release

TypeScript 7.1 beta

Cosa fa: prima beta della 7.1, pubblicata il 20 ottobre su npm come typescript@7.1.0-beta.

Utilità: supporta gli import attributes nelle dichiarazioni di moduli ambient, così file importati con type: "css", "text" o "bytes" possono avere tipi diversi a seconda dell'attributo; aggiunge le source phase imports, nuovi metodi di libreria e ottimizzazioni che la rendono fino a 2,5 volte più veloce della 7.0.

Verdict: da provare in un branch se si importano CSS, JSON o asset con attributi; in produzione meglio attendere la RC.

uv 0.13.4

Cosa fa: package manager Python di Astral; tre patch tra il 19 e il 20 ottobre.

Utilità: la 0.13.4 risponde all'advisory GHSA-hq85-5cpj-mr62 aggiornando i certificati radice Mozilla inclusi, dopo la compromissione di intermedi di una root della Web PKI. La 0.13.2 aggiunge retry sulle richieste GET e HEAD interrotte, restrizioni d'ambiente nell'export di pylock.toml e PyPy 3.11.17 e 3.12.15.

Verdict: aggiornare subito, soprattutto su CI e immagini Docker che usano i certificati inclusi in uv.

Ollama 0.40.7

Cosa fa: runtime per modelli locali; release del 18 ottobre.

Utilità: aggiunge pplx-decider, modello decisionale da 27 miliardi di parametri di Perplexity, corregge le conversazioni con l'API Responses compatibile OpenAI quando si cambia modello o nella cronologia ci sono compattazioni, e ordina meglio le chiamate ai tool in streaming. ollama show indica renderer, parser e origine del template.

Verdict: utile per chi usa Ollama come backend di Codex o di altri client Responses; aggiornamento senza rischi evidenti.

Vitest 5.1.0-beta.1

Cosa fa: test runner dell'ecosistema Vite; beta del 19 ottobre.

Utilità: introduce --last-failed per rieseguire solo i test falliti e --since-last-run, supporta Temporal.Instant e Temporal.ZonedDateTime in vi.setSystemTime() ed espone il risultato di ogni tentativo con retry e repeat.

Verdict: --last-failed da solo vale la prova in locale; per la CI conviene aspettare la 5.1 stabile.

n8n 2.44.5

Cosa fa: piattaforma di automazione dei workflow; patch stabile del 21 ottobre, con la 2.45.0 in pre-release dal 20.

Utilità: corregge la gestione degli esiti dei job in coda quando l'istanza riparte dopo uno spegnimento e il caricamento dei tipi di credenziali all'avvio dell'editor.

Verdict: consigliata per chi usa la modalità queue; chi è sulla linea 2.44 può aggiornare senza attendere la 2.45.

Claude Code 2.1.306

Cosa fa: agente di coding da terminale; release del 21 ottobre dopo una serie quotidiana dalla 2.1.302.

Utilità: corregge claude -p nelle sessioni cloud che risultava non autenticato senza le variabili d'ambiente della sessione e un errore API mascherato da "prompt is too long" con molti tool MCP.

Verdict: aggiornamento di routine, utile soprattutto a chi collega molti server MCP.

Status runtime

• Node.js: 26.12.0 Current e 24.22.0 LTS, entrambe del 14 ottobre
• TypeScript: 7.0.2 stabile, 7.1 beta dal 20 ottobre
• Python: 3.15.0 stabile dal 9 ottobre, 3.14.8 e 3.13.16 sulle linee precedenti
• Flutter: 3.47.7 stable dell'8 ottobre, 3.50.0-0.1.pre beta del 14 ottobre