Le notizie del 21 ottobre e delle prime ore del 22. Giornata particolarmente importante per la sicurezza: aggiornamenti urgenti per PHP, una compromissione di LiteLLM e nuove iniziative per proteggere il software open source.
1. PHP: due vulnerabilità critiche, aggiornamenti urgenti
Il 21 ottobre il team PHP ha pubblicato quattro versioni correttive per CVE-2026-109618 e CVE-2026-109619, entrambe con gravità 9,2. In determinate configurazioni consentono l'esecuzione di codice da remoto senza autenticazione. Le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il rischio è particolarmente elevato con Apache mod_php, ma riguarda anche altri ambienti. Per le versioni più vecchie servono correzioni del fornitore oppure una migrazione.
Perché conta: per i siti ospitati su Altervista è importante verificare quale interprete PHP utilizza effettivamente il server e se il provider ha applicato le correzioni. Aggiornare soltanto il CMS non basta.
Il 21 ottobre SafeDep ha documentato la compromissione di LiteLLM 1.107.0. I pacchetti pubblicati su PyPI per Linux, macOS e Windows contenevano componenti malevoli capaci di raccogliere credenziali e mantenere accesso all'ambiente. PyPI ha rimosso la versione interessata. Secondo l'analisi, la precedente 1.106.2 e le release candidate 1.107.0rc erano pulite.
Perché conta: chi utilizza gateway AI, agenti Python o pipeline CI dovrebbe controllare le dipendenze installate. Se la versione compromessa è stata eseguita, occorre considerare potenzialmente esposti i segreti dell'ambiente.
DeepSeek ha pubblicato DeepInfer il 20 ottobre, aggiornandolo il 21. Il framework, con licenza Apache-2.0, comprende componenti utilizzati per l'inferenza su larga scala di DeepSeek V4.1 Flash. Offre parallelismo MoE, scheduling asincrono, output strutturati e decoding speculativo DSpark. Attualmente richiede GPU NVIDIA SM100 oppure NPU Huawei Ascend 950. Mancano ancora alcuni componenti necessari a un servizio completo.
Perché conta: è particolarmente interessante per studiare l'architettura e i costi dell'inferenza DeepSeek. Non è però una soluzione pronta per Raspberry o normali GPU domestiche.
Il 21 ottobre Anthropic ha presentato Claude Duet. L'agente dispone di un computer cloud, consulta le applicazioni collegate, invia briefing e continua a lavorare anche quando l'utente non è collegato. Per operazioni sensibili, come inviare messaggi o effettuare pagamenti, richiede approvazione. La preview è riservata agli abbonati Pro e Max negli Stati Uniti tramite lista d'attesa.
Perché conta: è un concorrente interessante nell'ambito degli agenti personali persistenti. Da confrontare soprattutto su autonomia, sicurezza e consumo dei limiti d'utilizzo.
5. DuckDB 2.0 LTS: database, server e modalità agenti
Il 21 ottobre è arrivato DuckDB 2.0.0, denominato Cinnamon Teal. Le novità principali comprendono il protocollo Quack per l'utilizzo client-server, connessioni a database remoti, I/O asincrono, tipo VARIANT, trigger e parser SQL estensibile. La CLI introduce anche una modalità dedicata agli agenti AI, con risultati più compatti. Nei test del progetto riduce del 59% l'output che il modello deve leggere.
Perché conta: aggiornamento sostanzioso per Python, analisi dati e agenti CLI. Attenzione alla compatibilità dei nuovi file database con le versioni precedenti.
6. OpenAI e Google Cloud: modelli e Codex nel Model Garden
Il 21 ottobre OpenAI e Google Cloud hanno annunciato un accordo per distribuire i modelli OpenAI e i workflow Codex attraverso Google Cloud Model Garden. Sono previste integrazioni successive con Google Antigravity e Gemini Agent. La disponibilità generale è attesa nelle prossime settimane.
Perché conta: amplia le possibilità di scelta per gli sviluppatori di agenti cloud. Non si tratta di un nuovo modello e il servizio non è ancora generalmente disponibile.
Il 21 ottobre GitLab ha pubblicato aggiornamenti per diverse versioni supportate, comprese 19.5.1 e 18.11.13. Le correzioni comprendono un problema critico nel compilatore delle espressioni regolari e vulnerabilità di autenticazione e gestione della cache.
Perché conta: chi gestisce GitLab in self-hosting dovrebbe aggiornare immediatamente. GitLab.com risulta già corretto.
8. GitHub CLI 2.103: token OAuth con rinnovo automatico
Dal 21 ottobre GitHub CLI supporta token OAuth a scadenza, rinnovati automaticamente. La funzione è facoltativa e si attiva con gh auth login --expiring. Per l'autenticazione Git via HTTPS è consigliato configurare gh auth setup-git.
Perché conta: migliora la sicurezza degli script Linux. Occorre però prestare attenzione ai programmi che memorizzano una copia statica del token.
9. 404 Media: furto d'identità e conseguenze giudiziarie
Un'inchiesta del 21 ottobre racconta il caso di una donna arrestata dopo una truffa effettuata attraverso un account Cash App aperto a suo nome. Secondo i documenti esaminati da 404 Media, diversi dati tecnici dell'account non coincidevano con quelli dei dispositivi e delle connessioni della donna. Il procedimento giudiziario è ancora aperto.
Perché conta: il caso mostra i rischi di identificare automaticamente il titolare dei dati anagrafici con la persona che controlla realmente un account.
10. Linux 7.4: ottimizzazioni kernfs e driver AMD Ryzen
Il 21 ottobre Phoronix ha documentato due sviluppi interessanti. Meta ha proposto 18 patch per migliorare la scalabilità di kernfs, infrastruttura utilizzata da sysfs e cgroupfs. Nei test pubblicati, alcune operazioni migliorano del 35–53%. AMD ha inoltre proposto un driver AOD WMI per controllare da Linux alcuni parametri energetici dei processori Ryzen, compresi PPT, TDC ed EDC.
Perché conta: sviluppi interessanti per server e desktop Ryzen, ma non sono ancora funzioni disponibili nella versione stabile di Linux Mint.
11. Linux Mint: interventi concreti su Cinnamon e Muffin
Nei repository ufficiali del 21 ottobre compaiono due modifiche: Cinnamon elimina un'opzione ridondante di avvio automatico dal menu della grouped-window-list. Muffin corregge eventi GLX che potevano andare persi utilizzando Zink. Sono modifiche di sviluppo, non nuove release stabili. Il Monthly News del 13 ottobre continua a prevedere Linux Mint 27 Adrien per Natale, anche nell'edizione MATE.
Perché conta: nessuna azione immediata su Mint 22.3. Restano da seguire soprattutto Wayland e le future beta.
12. Scratch: aggiornamenti a blocchi, audio e traduzioni
Fra il 21 e il 22 ottobre il repository ufficiale scratch-editor ha aggiornato le dipendenze scratch-blocks, scratch-audio e scratch-l10n. Sono modifiche tecniche verificabili, ma non dimostrano da sole l'arrivo di nuove funzioni o di una beta di Scratch 4.0.
Perché conta: per la didattica conviene seguire le modifiche ai componenti dell'editor, verificando le note delle singole versioni.
13. MuckScraper 1.0: notiziario self-hosted con Ollama
Presentato il 21 ottobre su r/selfhosted, MuckScraper raccoglie notizie RSS, raggruppa gli articoli relativi allo stesso evento e produce riassunti locali utilizzando Ollama. Comprende anche classificazioni del posizionamento editoriale delle fonti, da considerare stime e non valutazioni oggettive.
Perché conta: progetto da approfondire per costruire notiziari personali e pipeline locali di deduplicazione.
