Allarme
Se usi agenti AI, controlla le copie di Node.js e Bun sul tuo computer
Danilo Giudice · 23 ottobre 2026
⚠️ SE USI AGENTI AI SEI A RISCHIO!
Negli ultimi giorni è successo di tutto: il 21 ottobre PHP e Node.js hanno corretto insieme 12 vulnerabilità, 6 gravi. E PHP fa girare il 69% dei siti di cui si conosce il linguaggio (W3Techs).
Ho creato un PROMPT per mettere al sicuro il mio computer (link in fondo).
In sostanza: se usi agenti AI o uno strumento come Claude Code che naviga sul web, sei esposto a un difetto che può mandare in crash i tuoi programmi e forse permettere a qualcuno di eseguire comandi sul tuo PC.
I siti comprimono le pagine per farle viaggiare più leggere, un po’ come uno ZIP, e uno dei formati più usati è Brotli, creato da Google. La libreria che lo decomprime aveva un difetto: un file compresso malformato la faceva scrivere fuori dallo spazio di memoria previsto. Il difetto c’è in tutte le versioni uscite dal 2018 a oggi, e Google gli ha dato 9,2 su 10 di gravità.
Quella libreria sta dentro Node.js e Bun, i programmi su cui girano molti agenti AI e strumenti per sviluppatori. Quando un agente scarica una pagina compressa in Brotli, la decomprime da solo, ma intanto ha accesso ai tuoi file, al terminale e alle chiavi dei servizi che usi. Secondo la scheda ufficiale, chi attacca può mandare in crash il programma, leggerne la memoria e forse eseguire codice: su quest’ultimo punto i ricercatori non sono d’accordo.
Cosa fare
- Aggiorna gli agenti e gli strumenti AI che usi. Claude Code nella versione nativa si aggiorna da solo: con claude --version controlla di avere almeno la 2.1.308, la prima che sul mio Mac contiene la correzione.
- Conta le copie di Node: nel Terminale, which -a node le elenca tutte (su Windows: where node). Ognuna deve essere almeno 22.23.4, 24.22.1 o 26.12.1, e Bun almeno 1.4.4.
- Aggiorna quelle vecchie con lo strumento con cui le hai installate: Homebrew (brew upgrade node bun), nvm oppure l’installer di nodejs.org. Le versioni 25, 23, 21, 20 e precedenti non hanno correzione: passa a una delle tre.
- Se non vuoi farlo a mano, fallo fare all’agente: il prompt che trovi nel mio canale Telegram controlla tutto e chiede il tuo ok prima di ogni aggiornamento.
- Non scaricare da GitHub i codici che promettono di dimostrare l’attacco: nessuno li ha verificati.
Se non hai mai installato strumenti per programmatori né agenti AI, probabilmente Node non ce l’hai: tieni comunque aggiornati sistema e app.
Se vuoi il PROMPT completo da dare al tuo agente lo trovi qui: https://lnkd.in/dPEXCxsF
Se sei arrivato fin qui, il prossimo non perderlo
Su Telegram ti scrivo quando esce un pezzo nuovo o c’è una falla da correggere subito.
Entra su Telegram
