Patch di Node.js e notizie sviluppo, 22 ottobre 2026

In breve: il 22 ottobre 2026 le notizie di sviluppo partono dalle release di sicurezza di Node.js 26.12.1, 24.22.1 e 22.23.4, con una falla nel decoder Brotli che può portare a esecuzione di codice, e da Python 3.15.1, 3.14.9 e 3.13.17, che tolgono la fiducia alla CA compromessa di eMudhra. La GitHub CLI apre l'anteprima dei token che scadono da soli, pnpm 12.15 divide la configurazione in più file e Mistral Vibe permette agli amministratori di vietare la modalità senza conferme. In fondo sette release spiegate e lo stato dei runtime.

Sei notizie su linguaggi, runtime e tooling e sette release dal 20 al 22 ottobre. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie sviluppo software e l'uscita precedente nelle notizie sviluppo del 21 ottobre. Dopo il caso LiteLLM resta utile la guida sulle dipendenze inventate dall'AI e lo slopsquatting.

Linguaggi, runtime e tooling

Node.js: release di sicurezza per le linee 26, 24 e 22

Fonte: blog di Node.js · 21 ottobre 2026

Node.js 26.12.1, 24.22.1 e 22.23.4 correggono quattro falle di gravità alta: una scrittura fuori dai limiti nel decoder Brotli che permette esecuzione di codice remota (CVE-2026-111497), due modi per aggirare il controllo dell'hostname nei certificati TLS quando l'host è un indirizzo IP scritto in forme non canoniche, e un troncamento dei nomi con caratteri NUL in dns.resolve. Tra le falle medie c'è CVE-2026-106074: crypto.randomUUID() e randomInt() salvano la loro cache negli snapshot di avvio e nei Single Executable Application, così ogni processo ripete gli stessi valori. Le release aggiornano anche i certificati radice per il caso eMudhra.

Perché conta: la falla Brotli tocca qualunque server che decomprime dati ricevuti. Chi distribuisce applicazioni come SEA o usa snapshot deve ricompilarle dopo l'aggiornamento, altrimenti gli UUID restano prevedibili.

Python 3.15.1, 3.14.9 e 3.13.17: release accelerate per i certificati di eMudhra

Fonte: Python Insider · 21 ottobre 2026

Le nuove versioni includono pip 26.2.2 con certifi 2026.10.19, che rimuove la root di eMudhra/emSign coinvolta nella compromissione delle CA. Per la 3.13, appena entrata nella fase di sole correzioni di sicurezza, il team ha fatto un'eccezione e ha aggiornato pip con nuovi installer. Gli ambienti virtuali esistenti non si aggiornano da soli: vanno aggiornati pip e uv a mano.

Perché conta: le applicazioni Python che usano requests o httpx si fidano del bundle di certifi presente nell'ambiente. Un'immagine Docker costruita prima del 19 ottobre si fida ancora della CA compromessa finché non viene ricostruita.

GitHub CLI: token OAuth che scadono e si rinnovano da soli

Fonte: GitHub Changelog · 21 ottobre 2026

Dalla versione 2.103.0, in anteprima pubblica, gh auth login --expiring salva un access token a scadenza insieme a un refresh token che cambia a ogni rinnovo; la CLI rinnova il token in background quando serve. Per usarlo sempre basta gh config set expiring_credentials enabled. Un token rubato diventa inutilizzabile nel giro di ore invece di restare valido a tempo indeterminato.

Perché conta: la compromissione di LiteLLM del 21 ottobre è partita proprio da token OAuth della GitHub CLI rubati. Su portatili e macchine di build è un'opzione da attivare subito.

pnpm 12.15: configurazione divisa in più file e lockfile più stabile

Fonte: GitHub Releases, pnpm · 21 ottobre 2026

Il nuovo campo include di pnpm-workspace.yaml delega impostazioni ad altri file YAML o a dipendenze di configurazione, con un solo proprietario per ogni impostazione. Con lockfile.integrityTarget: tar il lockfile registra l'hash del tar non compresso, così non cambia se un registry ricomprime i pacchetti. pnpm accetta risposte compresse con zstd, rispetta SOURCE_DATE_EPOCH in pnpm deploy e rifiuta i metadati di registry che nominano un pacchetto diverso da quello richiesto.

Perché conta: nei monorepo grandi la configurazione condivisa diventa gestibile, e il controllo sui metadati chiude una strada usata per sostituire pacchetti. È già disponibile anche la 11.28.7 per chi resta sulla linea 11.

Mistral Vibe 3.0.1: gli amministratori possono vietare la modalità auto-approve

Fonte: GitHub Releases, mistralai/mistral-vibe · 20 ottobre 2026

Il nuovo parametro enable_auto_approve, impostato a false nella configurazione gestita dall'amministratore, nasconde l'agente che approva tutto da solo, ignora le opzioni --auto-approve e --yolo e le richieste di saltare i permessi dei tool. La release aggiunge parametri per regolare la compattazione del contesto, fa attendere a vibe -p i sottoagenti rimasti attivi e calcola il costo di ogni sottoagente con il prezzo del suo modello.

Perché conta: in azienda la modalità senza conferme è la prima cosa da poter spegnere centralmente. Il costo per sottoagente aiuta a capire dove si spende davvero.

Go: aperto il sondaggio annuale degli sviluppatori

Fonte: blog di Go · 21 ottobre 2026

Il Go Developer Survey 2026 resta aperto fino al 3 novembre e richiede 10-20 minuti, con tutte le domande facoltative. L'anno scorso hanno risposto 5.379 sviluppatori e la frustrazione principale era seguire le best practice e gli idiomi di Go, citata dal 33%: da allora il team ha riscritto go fix in Go 1.26 e aggiunto altri modernizzatori in Go 1.27. I risultati usciranno all'inizio del 2027.

Perché conta: il sondaggio orienta le priorità del team di Go per l'anno successivo, quindi è il modo più diretto per segnalare cosa manca nel proprio lavoro quotidiano.

Repository e release

Claude Code 2.1.307

Cosa fa: aggiunge /claude-api api-version per portare il codice che usa l'API di Claude alla versione 2026-10-21 e un evento OpenTelemetry claude_code.safety_event per ogni chiamata a tool fermata o rimandata da regole di permesso, controlli di sicurezza, hook o sandbox.

Utilità: le chiamate HTTP ai server MCP non vengono più inviate due volte quando la connessione cade a metà: ora si ripetono solo i tool di sola lettura o idempotenti.

Verdict: aggiornamento consigliato a chi usa server MCP che scrivono dati o vuole tracciare i blocchi di sicurezza.

Qwen Code 0.26.0

Cosa fa: la release dell'agente di coding di Qwen lavora soprattutto sui managed agent: un controllo --check di sola lettura che stampa PASS, WARN, FAIL o SKIP prima del deploy, riferimenti a file locali e via SSH, e allegati fino a 8 MiB.

Utilità: il demone può ricaricare skill ed estensioni per una singola sessione. Il changelog non segnala breaking change.

Verdict: interessante per chi ospita agenti per un team; per l'uso da terminale è un aggiornamento di routine.

uv 0.13.5

Cosa fa: aggiorna le build di CPython gestite da uv dalla 3.11 in su alle release di sicurezza del 21 ottobre, con pip 26.2.2 e certifi senza la root di eMudhra.

Utilità: dopo l'aggiornamento serve uv python upgrade; gli ambienti fissati a una patch precedente non cambiano interprete da soli. Python 3.9 e 3.10 includono ancora pip con la root compromessa.

Verdict: da installare e seguire con uv python upgrade in ogni progetto.

Deno 2.9.8

Cosa fa: toglie la fiducia alle CA compromesse di eMudhra e verifica i permessi di lettura per i file locali importati dinamicamente con deno compile.

Utilità: valida anche i nomi dei link dei pacchetti npm e allinea la gestione dei certificati X.509v1 a OpenSSL.

Verdict: aggiornamento di sicurezza da fare, soprattutto per chi distribuisce binari compilati.

Biome 2.6.2

Cosa fa: aggiunge biome migrate stylelint, che importa la configurazione di Stylelint e le sue esclusioni mappando le regole su quelle equivalenti di Biome, e l'opzione --git per biome init.

Utilità: con --write applica le modifiche; con --include-inspired o --include-nursery migra anche le regole sperimentali.

Verdict: utile a chi vuole togliere Stylelint dalla toolchain; conviene confrontare il risultato su un branch.

Docker Compose 5.6.1

Cosa fa: ricompila Compose con Go 1.26.10, che filtra le catene di certificati che contengono gli intermedi compromessi di eMudhra (CVE-2026-111943).

Utilità: nessuna funzione nuova, solo la correzione della libreria crittografica di Go.

Verdict: da aggiornare insieme agli altri binari scritti in Go.

Gemini CLI 0.65.0

Cosa fa: rende di sola lettura le impostazioni del workspace nelle cartelle non attendibili e allinea la validazione del parametro iss nel callback OAuth alla RFC 9207.

Utilità: corregge anche risposte di tool duplicate e cronologie cancellate quando si riprende una sessione.

Verdict: aggiornamento consigliato a chi apre repository di terzi con l'agente.

Status runtime

• Node.js: 26.12.1 Current e 24.22.1 LTS, release di sicurezza del 21 ottobre
• TypeScript: 7.0.2 stabile, 7.1 beta dal 20 ottobre
• Python: 3.15.1 stabile dal 21 ottobre, con 3.14.9 e 3.13.17 sulle linee precedenti
• Flutter: 3.47.7 stable dell'8 ottobre, 3.50.0-0.1.pre beta del 14 ottobre