Falle in Hono e notizie sviluppo, 1 novembre 2026

In breve: il 1 novembre 2026 le notizie di sviluppo software partono da Hono, che con la 4.13.16 corregge cinque falle di sicurezza, tra cui due che permettevano di saltare i middleware con richieste costruite ad arte. Jepsen pubblica l'analisi di ParticleDB, il database per carichi AI che prometteva "Full ACID" e ha mostrato 96 problemi, mentre il kernel Linux elimina il driver Binder in C a favore della versione in Rust. I maintainer di glibc fanno il punto sulle chiamate di sistema senza wrapper, Redox completa i ring buffer in stile io_uring e un'analisi spiega perché una CPU al 100% spesso sta solo aspettando la memoria. Chiudono cinque release, da pnpm 11.28.10 a OpenCode 2.2.5, e lo stato dei runtime.

Sei notizie su linguaggi, runtime, database e strumenti e cinque release, dopo le notizie sviluppo software del 31 ottobre. La falla TCP del kernel che riguarda anche i servizi Go è nelle notizie cybersecurity di oggi, le cinque principali nel numero di oggi, l'archivio in Notizie sviluppo software e in Notizie tech. Per scegliere il database di un progetto piccolo c'è il confronto SQLite o Postgres per un prodotto indie, e per i limiti di richieste su un backend serverless la guida al rate limiting su Cloudflare Workers.

Linguaggi e runtime

Hono 4.13.16 corregge cinque falle di sicurezza

Fonte: GitHub, Hono · 1 novembre 2026

Il framework web per JavaScript chiude cinque advisory. mount() e app.mount() con prefissi dinamici come /api/:tenant/* potevano inoltrare un percorso che saltava i middleware dentro il prefisso, e il RegExpRouter, usato anche dallo SmartRouter predefinito, in tre casi non applicava i middleware con wildcard. validator('form') non riconosceva come form le richieste multipart/form-data con un parametro in più come charset, il helper css non eseguiva l'escape di un </style> spezzato tra template e valori e csrf() non controllava le richieste text/ping inviate da <a ping>. Poche ore prima la 4.13.15 aveva corretto l'escape del realm in WWW-Authenticate.

Perché conta: chi protegge le route con middleware di autenticazione montati su un prefisso deve aggiornare subito. Alcuni pattern di route ora generano un errore invece di comportarsi in modo ambiguo, quindi conviene provare l'aggiornamento prima del deploy.

Linux elimina il driver Binder in C, resta quello in Rust

Fonte: LWN.net, per abbonati · 30 ottobre 2026

All'ultima sessione di Kangrejos 2026, Carlos Llamas ha annunciato tra gli applausi di aver eliminato l'implementazione in C di Binder, il meccanismo principale di comunicazione tra processi di Android. Alice Ryhl, che lavora da anni alla versione in Rust, ha raccontato quali sono state le parti più difficili della transizione.

Perché conta: è uno dei primi casi in cui un driver usato su miliardi di dispositivi passa del tutto a Rust nel kernel principale, senza una versione C di riserva.

glibc e le chiamate di sistema ancora senza wrapper

Fonte: LWN.net, per abbonati · 30 ottobre 2026

Alla Linux Plumbers Conference di quest'anno Carlos O'Donell e Florian Weimer, maintainer di glibc, hanno fatto il punto sulle chiamate di sistema Linux che non hanno ancora un wrapper nella libreria C e si possono usare solo tramite syscall(). È il seguito della sessione del 2025, con un aggiornamento su cosa è cambiato nell'ultimo anno.

Perché conta: chi scrive codice di sistema in C, o runtime che si appoggiano a glibc, sa che una chiamata senza wrapper significa meno portabilità e più codice da mantenere a mano.

Database e prestazioni

Jepsen: ParticleDB non era "Full ACID"

Fonte: Jepsen · 31 ottobre 2026

Jepsen ha testato ParticleDB, un database SQL transazionale pensato per agenti e applicazioni AI, dalla versione 1.1.4 alla 1.1.18.11.rc-22, trovando 96 problemi: crash, deadlock, perdita di dati, righe parzialmente invisibili che non si potevano cancellare, colonne confuse e stringhe trasformate in interi. Quasi tutti si presentavano con un solo server, un solo client e nessun guasto. Nell'ultima versione testata ne restavano dieci, tra cui la perdita di scritture confermate con la modalità transazionale predefinita e anomalie di tipo Lost Update; il produttore dice di averli risolti nella 1.1.19-rc.13.

Perché conta: "ACID" in una pagina di marketing non basta. Prima di affidare dati importanti a un database nuovo conviene cercare test indipendenti come questi.

CPU al 100%? Spesso sta aspettando la memoria

Fonte: Pivotlake · 28 ottobre 2026

Una CPU moderna esegue 4-8 istruzioni per nanosecondo, mentre un accesso alla RAM costa 50-100 nanosecondi. L'articolo lo misura con perf stat su un GROUP BY ingenuo con una tabella hash sui 99 milioni di righe del dataset ClickBench, con circa 17 milioni di chiavi diverse: per il 50% del tempo la CPU resta ferma in attesa della memoria e solo il 16% degli slot esegue davvero istruzioni. Con una versione più attenta alla cache le attese scendono al 23,5% e la query passa da 3,6 a 2,7 secondi.

Perché conta: la percentuale di utilizzo della CPU non dice quanto lavoro si sta facendo. Per capire dove va il tempo servono i contatori hardware.

Redox completa i ring buffer in stile io_uring

Fonte: Redox OS · 25 ottobre 2026

Il sistema operativo in Rust ha concluso a settembre il lavoro finanziato da NLnet per far comunicare servizi di sistema e driver attraverso ring buffer, come primo passo verso la comunicazione a ring buffer tra applicazioni e servizi. È stata completata anche un'API simile a io_uring e liburing per le applicazioni, insieme a un executor asincrono per i driver e a ottimizzazioni per passare più in fretta tra applicazioni e servizi.

Perché conta: in un microkernel il costo dei messaggi tra processi decide le prestazioni. Chi vuole un finanziamento NLnet per un progetto open source può presentare domanda entro il 3 novembre.

Release della settimana

pnpm 11.28.10

Fonte: GitHub · 30 ottobre 2026

Cosa fa: impedisce a pnpm store prune di cancellare altri store quando cacheDir punta alla loro cartella padre, fa trovare ai comandi installati con pnpm add --global le dipendenze sollevate e risolve ERR_PNPM_EXDEV di pnpm prune --prod con node_modules copiato da uno stage Docker precedente.

Utilità: pnpm install ora riprova il download dello zip di Node.js se la connessione cade a metà, invece di fermarsi con terminated.

Verdict: aggiornamento consigliato per chi resta sulla linea 11, soprattutto con cacheDir personalizzato.

OpenCode 2.2.5

Fonte: GitHub · 30 ottobre 2026

Cosa fa: l'agente di coding open source aggiunge scorciatoie per scegliere worktree e branch di base, l'invio di una singola citazione dal popup dei commenti e un buffer di compattazione in percentuale, come "buffer": "20%" in opencode.json.

Utilità: gli errori di read ed edit indicano la cartella esistente più vicina o le righe più simili, e i server MCP che inviano messaggi oltre 10 MiB non vengono più disconnessi.

Verdict: aggiornamento utile per chi alterna modelli con finestre di contesto molto diverse.

openai-node 7.47.0

Fonte: GitHub · 31 ottobre 2026

Cosa fa: l'SDK TypeScript di OpenAI aggiunge il warmup tipizzato delle connessioni WebSocket della Responses API; la 7.46.0 dello stesso giorno porta le impostazioni di compattazione del contesto e di revisione delle sessioni degli agenti, già arrivate nell'SDK Python.

Utilità: il warmup riduce la latenza della prima risposta quando si apre una sessione WebSocket.

Verdict: utile per chi costruisce agenti in Node; per gli altri è un aggiornamento di routine.

Electron 45.2.1

Fonte: GitHub · 31 ottobre 2026

Cosa fa: aggiorna Chromium alla 156.0.8078.75 e riporta correzioni dal ramo principale di Chromium.

Utilità: porta nelle app desktop basate su Electron le correzioni di sicurezza del motore del browser.

Verdict: aggiornamento consigliato a chi distribuisce app Electron; conviene seguire anche le prossime patch, perché Chrome stabile è già alla 156.0.8078.79.

llama.cpp b12024

Fonte: GitHub · 31 ottobre 2026

Cosa fa: l'ultima build del motore di inferenza in C/C++ rimodella una moltiplicazione di matrici per i modelli LFM; poche build prima la b12020 aveva aggiunto la trasformata di Walsh-Hadamard veloce al backend OpenCL, con un contributo di Qualcomm.

Utilità: il backend OpenCL è quello usato sulle GPU Adreno dei dispositivi Snapdragon.

Verdict: da aggiornare solo se si usano modelli LFM o il backend OpenCL; le build escono più volte al giorno.

Status runtime

• Node.js: 26.13.0 LTS Lithium dal 28 ottobre, 27.0.0 alpha dal 29 ottobre
• TypeScript: 7.0.2 stabile, 7.1 beta dal 20 ottobre
• Python: 3.15.2 stabile, 3.16 in sviluppo
• Flutter: 3.47.9 stable e 3.50.0-0.3.pre beta, entrambe del 29 ottobre