Blog
Approfondimenti sullo sviluppo software, sicurezza e tecnologia dal nostro team.
Un prototipo contaminato può dirottare il traffico axios. Aggiorna alla versione 1.18.0.
axios ha appena divulgato CVE-2026-67320, una vulnerabilità di prototype pollution nel suo adattatore HTTP per Node.js che può reindirizzare le richieste in uscita del server attraverso un proxy controllato da un attaccante e far trapelare le credenziali in chiaro via HTTP. Un promemoria chiaro che una dipendenza che configuri appena è comunque una superficie d'attacco. Ecco cosa correggere e cosa cambiare oltre alla patch.
Il React Compiler passa a Rust, e Next.js 16.3 può già usarlo
Il team di React ha riscritto il React Compiler in Rust, e Vercel lo ha integrato in Turbopack. Next.js 16.3 riporta una compilazione dei percorsi dal 20 al 50% più veloce sulla via nativa. Analizziamo se vale la pena attivare il flag sperimentale e come testarlo senza rischiare la produzione.
Una sola richiesta POST ora controlla un sito WordPress predefinito. Aggiorna alla 7.0.2 oggi.
WordPress ha appena rilasciato una patch per wp2shell, una catena di esecuzione remota di codice non autenticata nel core che trasforma una singola richiesta in una compromissione completa di un'installazione predefinita. Colpisce le versioni dalla 6.8 alla 7.0.1, e il codice di exploit pubblico è già in circolazione. Ecco cosa devono fare questa settimana i team web e di sicurezza, e come verificare se siete già stati colpiti.
Il @State di SwiftUI è diventato una macro, e Xcode 27 romperà alcune build
Il WWDC 2026 ha trasformato il @State di SwiftUI da property wrapper in macro. In Xcode 27, un pattern di init comune ora non compila più. La soglia minima dell'App Store è ancora iOS 26, quindi si tratta di un'attività pianificabile, non di un'emergenza, se si comincia adesso.
Un bug critico di PhpSpreadsheet ha aggirato la sua stessa patch
La correzione di PhpSpreadsheet per un bug di deserializzazione phar è stata aggirata con un percorso contenente uno slash in più. La nuova vulnerabilità, CVE-2026-45034, è critica con punteggio 9,2: esecuzione remota di codice completa su PHP 7.x e una primitiva di lettura file su PHP 8.x. Ecco come funziona il bypass e cosa dovrebbe fare il vostro team questa settimana.
TypeScript 7.0 è 10 volte più veloce e scritto in Go. Ecco come adottarlo senza rompere la CI.
Microsoft ha rilasciato il Release Candidate di TypeScript 7.0 il 18 giugno 2026, e la grande novità è il compilatore stesso, ora scritto in Go e circa 10 volte più veloce di 6.0. Si tratta di un porting piuttosto che di una riscrittura, quindi le regole sui tipi rimangono le stesse. La mossa intelligente è eseguirlo come job CI shadow adesso e adottarlo secondo i propri tempi.
Node.js abbandona il modello pari-dispari. Ecco come pianificare gli aggiornamenti adesso.
Node.js mette in pensione il modello pari-dispari su cui i team backend si sono affidati per un decennio. A partire dalla versione 27, c'è un major all'anno, ogni rilascio diventa LTS e un nuovo canale Alpha di sei mesi apre a ottobre. Ecco cosa cambia se si utilizza Node in produzione e il singolo job CI da aggiungere subito.
Redis 8.8 finalmente ha array nativi e un rate limiter integrato. Ecco cosa fare con loro.
Redis 8.8 è appena uscito con un tipo di dato array nativo e INCREX, un comando di rate limiting integrato che sostituisce gli script Lua artigianali usati dalla maggior parte dei team oggi. Le funzionalità sono davvero utili, ma la mossa intelligente non è aggiornare di venerdì. Ecco come ci approcceremmo per un cliente, e l'unico audit che vale la pena fare questa settimana, indipendentemente da tutto.
Android è ufficialmente Compose-first. La tua app basata su View è ora codice legacy.
Al Google I/O 2026, Google ha reso Jetpack Compose il modo ufficiale per sviluppare le interfacce Android e ha spostato il toolkit View in modalità manutenzione. Per le molte app in produzione ancora basate su View, questo trasforma una domanda di lunga data in una decisione concreta. Ecco come i team mobile dovrebbero rispondere, senza riscrivere tutto in una volta.
Apple e Google rendono i telefoni meno vincolanti. I team mobile devono ripensare la strategia.
iOS 26.5 è arrivato questa settimana con il trasferimento wireless verso Android, la crittografia end-to-end RCS e un nuovo livello di abbonamento per l'App Store. Poche ore dopo, il Google Android Show I/O Edition 2026 ha confermato che la cooperazione vale in entrambe le direzioni. Il lock-in della piattaforma si sta indebolendo, e questo cambia il modo in cui i team mobile devono ragionare su fidelizzazione e prezzi.
Next.js ha corretto 13 advisory di sicurezza. I team self-hosted hanno più lavoro da fare.
Vercel ha rilasciato una patch di sicurezza coordinata il 7 maggio: 13 advisory per Next.js e React Server Components che coprono DoS, SSRF, avvelenamento della cache e bypass del middleware in App Router. I team self-hosted che eseguono Node sono i più colpiti. Il messaggio chiave: il middleware non è mai stato un confine di autorizzazione.
Un agente AI ha distrutto un database di produzione in 9 secondi. Ecco cosa è andato storto.
Un agente Cursor con Claude Opus 4.6 ha cancellato in autonomia l'intero database di produzione e i backup di una startup con una singola chiamata API. L'incidente mette in luce lacune reali nel modo in cui i team affidano agli agenti AI le chiavi dell'infrastruttura di produzione.