Composer 2.11 introduce il cooldown: le versioni appena uscite restano in attesa

Con Composer 2.11 puoi trattenere per un periodo a tua scelta le versioni dei pacchetti appena pubblicate: una difesa contro le release compromesse. Sparisce source-fallback e arrivano diverse correzioni di sicurezza.

Composer ha un nuovo freno di sicurezza: si chiama cooldown e trattiene le versioni dei pacchetti appena pubblicate per un periodo che scegli tu. È arrivato con la 2.11.0-RC1 del 22 ottobre 2026, e il changelog del progetto registra già la 2.11.0 (29 ottobre) e la 2.11.1 (30 ottobre).

Perché ti riguarda: secondo la documentazione di Composer, molte versioni malevole vengono “identified and removed within hours or days” (fonte), cioè individuate e rimosse entro poche ore o pochi giorni. Se aspetti prima di installarle, riduci il rischio.

La configurazione documentata è questa:

{
    "config": {
        "policy": {
            "cooldown": {
                "period": "7 days"
            }
        }
    }
}

La versione 2.11 porta anche diverse correzioni di sicurezza. La RC1 rifiuta i certificati intermedi di eMudhra compromessi, chiude dei varchi in secure-http e smette di inviare gli header di un repository a host il cui nome comincia con quello del repository. La 2.11.0 corregge altri due avvisi: GHSA-c968-33g3-wh7p e GHSA-fm2w-xgf2-f9fh.

Leggi anche: il Radar di novembre

Composer 2.11 introduce il cooldown: le versioni appena uscite restano in attesa

Fonti