In breve: la settimana web che porta al 15 ottobre 2026 è dominata dalla sicurezza: Next.js 16.4.1 e 15.5.28 correggono due falle critiche di esecuzione remota di codice senza login, una nelle funzioni use cache e una nell'ottimizzazione delle immagini SVG, e React pubblica le patch per i pacchetti di React Server Components. Escono anche SvelteKit 3.1, Vue 3.5.44 e Nuxt 4.6.1, e LittleJS aggiunge un renderer 3D.
Sette notizie su browser, API web e framework frontend dall'uscita del 13 ottobre, ognuna con la fonte ufficiale e cosa cambia nei siti che sviluppi. Le altre sezioni sono in Notizie tech, le cinque notizie principali nel numero di oggi, l'archivio di questa sezione è in Web e frontend e l'uscita precedente è Web e frontend del 13 ottobre. Prima di andare in produzione con un sito generato con l'AI c'è la checklist per un sito vibe-coded.
Sicurezza dei framework
Next.js 16.4.1 e 15.5.28 correggono due RCE critiche
Fonte: blog di Next.js · 14 ottobre 2026
È l'aggiornamento fuori ciclo annunciato l'8 ottobre. La prima falla critica (GHSA-673q-mjm6-r5xr) riguarda le app con App Router e Cache Components: una funzione use cache che restituisce più typed array può portare a esecuzione di codice remota senza autenticazione, e non ci sono workaround. La seconda (CVE-2026-96889) sta in una libreria usata dall'Image Optimization API e colpisce le immagini SVG quando Next.js gira su Linux con glibc; come rimedio temporaneo basta avere sharp alla 0.35.5 o successiva. Una terza falla, di gravità alta, permette un denial of service sulle app con almeno una Server Action.
Perché conta: Vercel chiede di aggiornare subito anche chi non ha funzioni simili. Il comando è npm install next@16.4.1 per la 16.4 e npm install next@15.5.28 per la 15.5; chi fa self-hosting su Linux deve controllare anche la versione di sharp nel lockfile.
React corregge una RCE nei pacchetti di React Server Components
Fonte: GitHub Security Advisory di React · ottobre 2026
È la falla a monte di quella di Next.js. Payload costruiti ad arte verso i framework che supportano React Server Components possono portare a esecuzione di codice remota, ma solo nei casi molto rari in cui una risposta trasporta più typed array e un valore controllato dall'attaccante. Sono colpiti react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack dalla 19.0.0 alla 19.3.0; le versioni corrette sono 19.0.9, 19.1.10, 19.2.9 e 19.3.1.
Perché conta: chi usa RSC fuori da Next.js, per esempio con Parcel o un bundler proprio, deve aggiornare questi pacchetti direttamente: l'aggiornamento di Next.js non basta a coprirli.
Framework
SvelteKit 3.1: report degli hash CSP e tracing per gli endpoint
Fonte: GitHub Releases · 14 ottobre 2026
La prima minor dopo SvelteKit 3 supporta le parole chiave CSP report-sha256, report-sha384 e report-sha512, con cui il browser segnala gli hash degli script caricati, ed emette uno span sveltekit.endpoint per i handler +server quando il tracing lato server è attivo. Tra le correzioni: i progetti dentro una cartella chiamata server non trattano più ogni modulo come solo server, e il recupero del deploy continua anche se l'aggiornamento del service worker fallisce. Escono insieme gli adapter per Vercel 7.0.1 e Cloudflare 8.0.1.
Perché conta: i report degli hash aiutano a costruire una Content Security Policy stretta partendo dagli script che il sito carica davvero, senza indovinarli. Lo span per gli endpoint rende visibili le API nelle tracce OpenTelemetry.
Vue 3.5.44: correzioni a reattività, SSR e Suspense
Fonte: changelog di Vue · 13 ottobre 2026
È una patch con oltre venti correzioni. In v-html i valori 0 e false ora diventano testo correttamente, un watcher once si ferma se la sua callback lancia un errore e le callback dei watcher eseguite dentro un altro effect non tracciano più dipendenze. Lato server, gli errori di un setup asincrono vengono propagati e gli override falsy del contenuto dei vnode vengono rispettati; playsinline è trattato come attributo booleano.
Perché conta: sono bug sottili che si vedono in produzione, come watcher che restano attivi o errori di SSR che spariscono. È un aggiornamento da fare nel normale giro delle dipendenze, mentre la 3.6 resta in release candidate.
Nuxt 4.6.1: correzioni per Vite 8 e Nitro
Fonte: GitHub Releases · 9 ottobre 2026
La patch della 4.6 costruisce la vista web dell'evento di Nitro solo al primo accesso, per risparmiare lavoro su ogni richiesta, e riconosce i messaggi dell'optimizer di Vite 8.1 e successive. Corregge anche la scansione delle dipendenze, che non si interrompe più sugli import virtuali dei pacchetti installati, e la risoluzione dei tipi nitropack/types con moduleResolution: nodenext.
Perché conta: chi è passato a Vite 8 con Nuxt 4.6 trova qui le correzioni ai suggerimenti sulle dipendenze e ai tipi. Aggiornamento di routine.
API web e strumenti
Le passkey non sono una trappola: cosa fa davvero l'attestation
Fonte: blog di Scott Helme · 14 ottobre 2026
Scott Helme risponde a un post molto letto su Hacker News che consigliava di tornare a password e codici TOTP. Le passkey sincronizzate, quelle di iCloud Keychain, Google Password Manager, 1Password o Bitwarden, non inviano un attestation statement: anche se il sito lo chiede, ricevono none. Quando l'attestation c'è, WebAuthn comunica solo marca e modello dell'autenticatore tramite il suo AAGUID, non il sistema operativo, il browser o se il telefono è rootato.
Perché conta: chi implementa WebAuthn su un sito consumer non deve chiedere l'attestation, come raccomanda da anni la guida per questi siti: se accettasse solo passkey attestate escluderebbe quasi tutti gli utenti. Ha senso solo in contesti aziendali con chiavi hardware gestite.
LittleJS aggiunge il 3D al motore di giochi HTML5
Fonte: blog di Frank Force · 12 ottobre 2026, in prima pagina su Hacker News il 14 ottobre
Il piccolo motore per giochi nel browser, senza dipendenze, ora ha un renderer 3D che condivide il canvas con il 2D: mesh, terreni e mappe voxel con collisioni, ombre, luci, nebbia e shader. Arrivano editor di livelli integrati, una libreria di effetti particellari e un core riscritto con sprite in batch su WebGL2 e disegno 3D instanziato. L'autore ha pubblicato un benchmark nel browser contro PixiJS, Three.js, PlayCanvas, Phaser e Babylon.js.
Perché conta: per giochi piccoli, demo e visualizzazioni interattive è un'alternativa leggera ai motori più grandi. I numeri del benchmark sono misurati su una sola macchina, come scrive l'autore: vanno rifatti sul proprio hardware.
Cosa fare adesso
Aggiorna Next.js a 16.4.1 o 15.5.28 oggi stesso e controlla che sharp sia almeno alla 0.35.5. Se usi React Server Components fuori da Next.js, porta i pacchetti react-server-dom-* alle versioni corrette. Per le altre novità di sicurezza della settimana ci sono le notizie cybersecurity di oggi.
Notizie dal 9 al 15 ottobre 2026.