In breve: la settimana web che porta al 29 ottobre 2026 vede Firefox 159 attivare di default le animazioni guidate dallo scroll e rimuovere la vecchia sintassi masonry, Chrome 156 correggere 52 falle tra cui due critiche trovate da un ricercatore di Anthropic con Claude e Safari 27.2 rifinire la select personalizzabile. Opera propone WebAI per far girare modelli locali nel browser e Orange Tsai pubblica la catena di soli errori logici che ha battuto Edge a Pwn2Own. Next.js 16.4 aggiunge una skill per agenti che alleggerisce i bundle e annuncia una release di sicurezza per il 3 novembre; escono Astro 7.4.3 e 7.4.4, React Router 8.5.1 e Storybook 10.6.5.
Otto notizie e un paper su browser, API web e framework frontend dall'uscita del 22 ottobre, ognuna con la fonte ufficiale e cosa cambia per i siti in produzione. Le catene di exploit di Anthropic contro Chrome e Safari sono nelle notizie cybersecurity di oggi. Le altre sezioni sono in Notizie tech, le cinque notizie principali nel numero di oggi, l'archivio di questa sezione è in Web e frontend e l'uscita precedente è Web e frontend del 22 ottobre. Chi deve spostare un sito Astro di piattaforma trova i passaggi nella guida per migrare da Cloudflare Pages a Workers.
Browser
Firefox 159: animazioni guidate dallo scroll attive e masonry legacy rimosso
Fonte: MDN, Mozilla · 27 ottobre 2026
Le scroll-driven animations sono attive di default e permettono di legare un'animazione CSS allo scorrimento invece che al tempo. Sparisce la vecchia sintassi masonry, che era attiva solo in Nightly, a favore di grid-lanes; i metodi della Sanitizer API come Element.setHTML() ora ripuliscono il markup mentre lo analizzano. Arrivano tre estensioni WebGL, tra cui EXT_clip_control e EXT_texture_norm16. Secondo SecurityWeek la versione corregge 167 falle, 108 di gravità alta; tra le novità per gli utenti, la roadmap di Mozilla segnala un visualizzatore PDF fino al 45% più veloce.
Perché conta: con l'attivazione in Firefox molti effetti di scorrimento oggi scritti in JavaScript possono passare al CSS, con meno codice da eseguire sul thread principale.
Chrome 156 corregge 52 falle, due critiche trovate con Claude
Fonte: Chrome Releases · 27 ottobre 2026
L'aggiornamento 156.0.8078.73/.74 per Windows e Mac e 156.0.8078.73 per Linux include 52 correzioni di sicurezza. Le prime due critiche, una corruzione di memoria in FileSystem (CVE-2026-118306) e una validazione errata in FileAPI (CVE-2026-118331), sono state segnalate da Xinyang Ge di Anthropic con l'aiuto di Claude; secondo SecurityWeek le critiche sono quattro in tutto, con Skia e Layout.
Perché conta: le app Electron e gli altri prodotti basati su Chromium ereditano queste falle finché non aggiornano il motore.
Safari 27.2 rifinisce la select personalizzabile
Fonte: WebKit · 26 ottobre 2026
La versione allinea la select personalizzabile, arrivata con Safari 27.0, alle ultime modifiche dello standard, con lo pseudo-elemento ::field-content e stili di base rivisti, e mantiene il menu dentro la finestra visibile. Nelle Grid Lanes la proprietà flow-tolerance diventa fit-tolerance, con il vecchio nome mantenuto come alias deprecato. Completano la release 20 correzioni tra accessibilità, media e CSS.
Perché conta: per chi usa già Grid Lanes in Safari conviene passare subito al nuovo nome della proprietà, prima che l'alias venga rimosso.
Opera propone WebAI per eseguire modelli locali nel browser
Fonte: TechCrunch · 27 ottobre 2026
WebAI è la proposta di standard con cui Opera fa girare modelli AI direttamente nel browser, senza cloud. Funziona con diversi modelli open weight, come Gemma di Google, e sui Mac anche con il modello on-device di Apple. È disponibile come anteprima in Opera One, mentre Opera GX e Opera Neon lo riceveranno più avanti.
Perché conta: un'API comune per i modelli locali permetterebbe ai siti di usare l'AI senza inviare dati a un server. Resta da vedere se altri browser la adotteranno.
Edge battuto a Pwn2Own con soli errori logici
Fonte: The Hacker News · 28 ottobre 2026
Orange Tsai di DEVCORE ha pubblicato nel suo write-up la catena che a maggio gli è valsa 175.000 dollari a Pwn2Own Berlin: una pagina web malevola esegue codice su Windows fuori dalla sandbox di Edge senza alcuna corruzione di memoria, solo concatenando errori logici nella gestione di funzioni ordinarie. Microsoft ha corretto i bug il giorno dopo la gara e non risultano attacchi reali.
Perché conta: le difese contro la corruzione di memoria non fermano questo tipo di catena. È un promemoria per chi integra funzioni del sistema operativo in un'app web o desktop.
API web e strumenti
Next.js 16.4 dà agli agenti una skill per alleggerire i bundle
Fonte: Next.js · 28 ottobre 2026
La skill next-bundle-optimizer, attivata con /next-bundle-optimizer, dà all'agente accesso al grafo dei moduli di Turbopack per trovare import inattesi, a partire dagli snapshot di next analyze esportati in JSON. Richiede Turbopack, il bundler predefinito da Next.js 16. Vercel dice di aver tolto così quasi due megabyte di JavaScript compresso tra v0 e vercel.com.
Perché conta: il JavaScript in più spesso arriva da un import indiretto difficile da vedere a mano. Avere il grafo dei moduli interrogabile rende l'analisi ripetibile anche senza agente, con next analyze export.
Quando una POST diventa GET: un'analisi su 10.000 siti
Fonte: arXiv 2610.37474 · PDF
Lo strumento MIDE riscrive le richieste POST come GET con i parametri nella query string e confronta le risposte. Sui 10.000 siti più visitati della lista Tranco trova richieste intercambiabili su 407 siti, il 12,7% di quelli con POST registrate, con casi in cui il token CSRF non valido viene rifiutato in POST ma accettato in GET e condizioni di Web Cache Deception.
Perché conta: accettare entrambi i metodi sullo stesso endpoint può aggirare protezioni pensate solo per le POST. Conviene limitare i metodi accettati a quelli previsti.
Framework
Next.js annuncia una release di sicurezza per il 3 novembre
Fonte: Next.js · 28 ottobre 2026
Martedì 3 novembre 2026 Next.js pubblicherà le correzioni per sette vulnerabilità di gravità media, con gli avvisi completi su impatto, versioni coinvolte e istruzioni di aggiornamento. L'annuncio anticipato serve a pianificare l'aggiornamento.
Perché conta: chi ha più applicazioni Next.js in produzione può riservare il tempo per aggiornarle subito dopo la pubblicazione.
Astro 7.4.3 e 7.4.4: correzioni a CSP, immagini e astro add
Fonte: GitHub · 28 ottobre 2026
La 7.4.3 smette di inserire nella CSP l'hash della stringa vuota per script e fogli di stile esterni, elimina i candidati srcset duplicati di Image e Picture e corregge un AbortError non gestito del ClientRouter. La 7.4.4 permette ad astro add di configurare versioni con tag degli adattatori ufficiali. Nella stessa settimana sono uscite React Router 8.5.1 e Storybook 10.6.5, che esclude dalla compilazione di produzione le cartelle con doppio underscore.
Perché conta: chi usa la CSP di Astro aveva un hash inutile nelle direttive script-src e style-src; l'aggiornamento le ripulisce.
Domande frequenti
01Quali sono le novità web e frontend della settimana fino al 29 ottobre 2026?
Firefox 159 con animazioni guidate dallo scroll, Chrome 156 con 52 correzioni di sicurezza, Safari 27.2, WebAI di Opera, la catena logica contro Edge, la skill di Next.js per i bundle, la release di sicurezza di Next.js del 3 novembre e le patch di Astro.
02Le animazioni guidate dallo scroll funzionano in tutti i browser?
Con Firefox 159 sono attive di default anche nel motore di Mozilla; conviene comunque verificare le singole proprietà su MDN prima di eliminare i fallback.
03Cosa cambia in Safari 27.2 per Grid Lanes?
La proprietà flow-tolerance si chiama ora fit-tolerance; il vecchio nome funziona ancora come alias deprecato.
04Quando esce la release di sicurezza di Next.js?
Martedì 3 novembre 2026, con correzioni per sette vulnerabilità di gravità media.