diff --git a/docs/administrator-manual/about/release_notes.md b/docs/administrator-manual/about/release_notes.md
index be157b248..338096d04 100644
--- a/docs/administrator-manual/about/release_notes.md
+++ b/docs/administrator-manual/about/release_notes.md
@@ -9,6 +9,63 @@ NethServer 8 releases
 - List of [known bugs](https://github.com/NethServer/dev/issues?q=is%3Aissue%20is%3Aopen%20type%3Abug%20project%3ANethServer%2F8) on GitHub
 - Discussions around [possible bugs](http://community.nethserver.org/c/bug) on our public forum
 
+## Major changes on 2026-10-09
+
+**Milestone 8.10**
+
+- **Forwarding to external addresses** \[Mail 1.9.0\] -- Messages forwarded from a mailbox to an external address now pass the SPF check of the destination server. Mail rewrites the envelope sender of messages whose sender domain is not a local mail domain with the Sender Rewriting Scheme (SRS), leaving the visible `From` header and the DKIM signature untouched. Bounces sent back to the rewritten address still reach the original sender. The rewriting is skipped when a default relay rule (smarthost) is configured \[Mail 1.9.1\]. See [Mailboxes](../applications/mail.md#mail-mailboxes-settings).
+
+- **Alias addresses from the user domain** \[Mail 1.8.0\] -- The new `Add alias addresses from user domain` option of mail domains treats the LDAP `mail` attribute of every user as a valid email address of the domain. When the sender/login correspondence is enforced, the address is also accepted as a sender for that user. See [Domains](../applications/mail.md#email_domains).
+
+- **Phone extension of users** \[Core 3.22.0, OpenLDAP 2.8.0, Samba 3.5.0\] -- Users of internal user domains have a new `Phone extension` field, stored in the LDAP `telephoneNumber` attribute. The field can be edited from cluster-admin and from the User Management portal. See [Create users and groups](../installation/user_domains.md#create-users-and-groups-section).
+
+- **Opt-out of automatic updates** \[Core 3.22.0\] -- With an active subscription, automatic updates can now be disabled from the Software Center, either for the whole cluster or for single applications, without command-line procedures. Applications excluded from automatic updates are marked with the `Updates disabled` tag and can still be updated manually. A warning is displayed in the Software Center and Applications pages while automatic updates are disabled for the whole cluster. See [Automatic updates](../installation/software_center.md#automatic-updates-section).
+
+- **ACME settings in the TLS certificates page** \[Core 3.22.0\] -- The former `ACME servers` page is now the `ACME settings` tab of the `TLS certificates` page. Besides the ACME directory URL, it allows choosing the challenge type of each node, `TLS-ALPN-01` (port 443) or `HTTP-01` (port 80), so the command-line procedure described in the 8.4 release notes is no longer needed. See [ACME settings](../configuration/certificates.md#acme-settings-section).
+
+- **Frontend proxies in the HTTP routes page** \[Core 3.22.0\] -- A new `Frontend proxies` tab of the `HTTP routes` page configures the nodes that stand behind a reverse proxy, a load balancer, or a CDN. Previously available only through API calls, the configuration lists the trusted proxy addresses and the trust depth, so that Traefik recovers the original client address from the `X-Forwarded-For` header. See [Frontend proxies](../configuration/proxy.md#frontend-proxies-section).
+
+  When a node has frontend proxies, the `Allow access from` restriction of its HTTP routes checks the original client address instead of the proxy address. Allow lists must contain client addresses, and restricted routes, including `cluster-admin`, reject requests that reach the node directly without passing through a frontend proxy. Adding the LAN network to `Allow access from` admits LAN clients only when they connect through a frontend proxy.
+
+- **System logs search and highlighting** \[Core 3.20.1, 3.22.0\] -- The `System logs` page has a new switch to search log lines with a regular expression instead of a plain text match. Error and warning lines are highlighted with different colors.
+
+- **Faster pages without internet access** \[Core 3.20.1, 3.22.0\] -- When the software repositories are unreachable, for example on a cluster without internet access, the `Cluster status`, `Applications`, and `Software Center` pages no longer wait for long network timeouts. Repositories are queried in parallel and their responses are cached.
+
+- **Table page size is remembered** \[Core 3.23.0\] -- The `Items per page` choice of tables is saved in the browser and survives page changes and reloads. Applications get this behavior when they update their UI library.
+
+- **Per-container resource metrics** \[Core 3.22.0, Metrics 1.4.0\] -- Node metrics now include the CPU and memory usage of every application container, and the disk space used by every application, refreshed once a day. The new `Containers` Grafana dashboard displays them, so you can find which application is consuming the node resources. See [Grafana access](../configuration/metrics.md#grafana_access-section).
+
+- **CrowdSec web interface** \[CrowdSec 1.2.0\] -- New CrowdSec pages make visible what was previously accessible only from the command line:
+  - `Detections` lists past suspicious activities with their scenario, source IP, country, and event log.
+  - `Collections` enables or disables the detection collections of each service.
+  - `Blocklists` groups the local blocklist, the community blocklist with the Central API connection status and IP search, and the allowlist.
+
+  See [CrowdSec](../applications/crowdsec.md).
+
+- **CrowdSec protection for NethVoice** \[CrowdSec 1.2.0\] -- The new `nethesis/nethvoice` collection detects SIP brute-force attacks against Kamailio, and HTTP brute-force and exploit scans against the NethVoice web applications. The collection is enabled on new installations; after an upgrade, enable it from the `Collections` page.
+
+- **CrowdSec Threat Shield** \[CrowdSec 1.3.0\] -- Systems with a subscription send the IP addresses blocked by CrowdSec to Nethesis, and addresses reported by enough systems are added to a shared blocklist. With the Threat Shield subscription add-on, the new `Threat Shield` page enables this blocklist and other blocklists maintained by Nethesis, and checks whether an IP address is listed in them. These blocklists are disabled by default. See [CrowdSec](../applications/crowdsec.md).
+
+- **CrowdSec bans history** \[CrowdSec 1.3.0\] -- The new `CrowdSec Bans` Grafana dashboard shows the bans recorded during the whole log retention period: a map per country, bans over time, top countries, providers, scenarios, ban durations, and the most banned IP addresses. Empty or wrong panels of the existing CrowdSec dashboards were also fixed. See [Grafana access](../configuration/metrics.md#grafana_access-section).
+
+- **Antivirus third-party signatures rating** \[Mail 1.7.13\] -- The `Third-party signatures rating` setting of the Mail antivirus was not applied, and the `Medium` rating was always used. The setting is now effective, so detection results may change if a different rating was selected. See [Antivirus](../applications/mail.md#anti-virus).
+
+- **Mail logins with Active Directory** \[Mail 1.7.13\] -- Dovecot no longer follows LDAP referrals returned by Active Directory. This removes unexpected connections to port 636 and repeated DNS queries, and fixes login timeouts reported on some installations migrated from NethServer 7.
+
+- **Default Roundcube folders** \[Roundcube 2.1.7\] -- The `Drafts` and `Sent` folders are created at the first login of a user, instead of when the first message is sent. Mail clients configured afterwards find the standard folders and do not create localized ones, such as `Posta inviata`.
+
+- **WebTop updates** \[WebTop 1.5.11\] -- WebTop was updated to upstream release 5.35.7 and the PEC bridge to release 5.4.11. The Thunderbird autoconfiguration file now advertises IMAP on port 993 and SMTP on port 465 with implicit TLS, as already done for Outlook. See [Client configuration](../applications/mail.md#email_clients).
+
+- **Piler container image** \[Piler 1.3.0\] -- The Piler application now runs on a container image built by the NethServer project instead of the upstream one, so security updates and new Piler releases are tested and shipped with the module. The container runs as an unprivileged user, and Piler logs, previously lost, are now sent to the system journal. The mail import action works again, as it now fetches messages over IMAP before importing them. See [Piler](../applications/piler.md).
+
+- **Dependency-Track 5** \[Dependency-Track 2.0.0\] -- The Dependency-Track application was upgraded to major version 5, because version 4 has reached its end of life. Existing installations are not updated automatically: the database must be migrated with a manual procedure, and some settings must be reconfigured afterwards. See [Upgrading from Dependency-Track v4 to v5](https://github.com/NethServer/ns8-dependencytrack#upgrading-from-dependency-track-v4-to-v5).
+
+- **Debian 12 no longer supported** \[Core 3.23.0\] -- As announced in the 8.8 release notes, the installer no longer accepts Debian 12. Existing Debian 12 nodes are not affected by this change, but should be upgraded to Debian 13 following the procedure described in the 8.8 release notes.
+
+- **Instance limit per node on the command line** \[Core 3.23.0\] -- The `add-module` command now honors the instance limit per node of an application, like the Software Center. For example, it refuses to install a second CrowdSec instance on the same node. The `--force` option skips the check.
+
+- **Other application updates** -- Loki 1.5.0 (upstream 3.7), Nextcloud 1.7.6.
+
 ## Major changes on 2026-06-30
 
 **Milestone 8.9**
diff --git a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/about/release_notes.md b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/about/release_notes.md
index 9871fc437..d8c6d5df7 100644
--- a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/about/release_notes.md
+++ b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/about/release_notes.md
@@ -9,6 +9,63 @@ Rilasci di NethServer 8
 - Elenco dei [bug conosciuti](https://github.com/NethServer/dev/issues?q=is%3Aissue%20is%3Aopen%20type%3Abug%20project%3ANethServer%2F8) su GitHub
 - Discussioni sui [possibili bug](http://community.nethserver.org/c/bug) nel nostro forum pubblico
 
+## Modifiche principali del 09-10-2026
+
+**Milestone 8.10**
+
+- **Inoltro verso indirizzi esterni** \[Mail 1.9.0\] -- I messaggi inoltrati da una casella di posta verso un indirizzo esterno superano ora il controllo SPF del server di destinazione. Mail riscrive il mittente della busta dei messaggi il cui dominio mittente non è un dominio di posta locale, usando il Sender Rewriting Scheme (SRS), senza modificare l'intestazione `From` visibile né la firma DKIM. I messaggi di mancata consegna inviati all'indirizzo riscritto raggiungono comunque il mittente originale. La riscrittura non viene applicata se è configurata una regola di relay predefinita (smarthost) \[Mail 1.9.1\]. Vedere [Caselle di posta](../applications/mail.md#mail-mailboxes-settings).
+
+- **Indirizzi alias dal dominio utente** \[Mail 1.8.0\] -- La nuova opzione `Aggiungi indirizzi alias dal dominio utente` dei domini di posta considera l'attributo LDAP `mail` di ogni utente come un indirizzo email valido del dominio. Se la corrispondenza tra mittente e login è obbligatoria, l'indirizzo è accettato anche come mittente per quell'utente. Vedere [Domini](../applications/mail.md#email_domains).
+
+- **Interno telefonico degli utenti** \[Core 3.22.0, OpenLDAP 2.8.0, Samba 3.5.0\] -- Gli utenti dei domini utente interni hanno un nuovo campo `Interno telefonico`, memorizzato nell'attributo LDAP `telephoneNumber`. Il campo può essere modificato da cluster-admin e dal Portale di gestione utenti. Vedere [Creare utenti e gruppi](../installation/user_domains.md#create-users-and-groups-section).
+
+- **Disattivazione degli aggiornamenti automatici** \[Core 3.22.0\] -- Con una subscription attiva, gli aggiornamenti automatici possono ora essere disattivati dal `Software center`, per l'intero cluster o per singole applicazioni, senza procedure da riga di comando. Le applicazioni escluse dagli aggiornamenti automatici sono contrassegnate dall'etichetta `Aggiornamenti disabilitati` e possono comunque essere aggiornate manualmente. Quando gli aggiornamenti automatici sono disattivati per l'intero cluster, le pagine `Software center` e `Applicazioni` mostrano un avviso. Vedere [Aggiornamenti automatici](../installation/software_center.md#automatic-updates-section).
+
+- **Impostazioni ACME nella pagina dei certificati TLS** \[Core 3.22.0\] -- La precedente pagina dei server ACME è ora la scheda `Impostazioni ACME` della pagina `Certificati TLS`. Oltre all'URL della directory ACME, permette di scegliere il tipo di challenge di ogni nodo, `TLS-ALPN-01` (porta 443) o `HTTP-01` (porta 80): la procedura da riga di comando descritta nelle note di rilascio della 8.4 non è quindi più necessaria. Vedere [Impostazioni ACME](../configuration/certificates.md#acme-settings-section).
+
+- **Proxy frontend nella pagina delle rotte HTTP** \[Core 3.22.0\] -- Una nuova scheda `Proxy frontend` della pagina `Rotte HTTP` configura i nodi che si trovano dietro un reverse proxy, un load balancer o una CDN. La configurazione, prima disponibile solo tramite chiamate API, elenca gli indirizzi dei proxy fidati e la profondità di fiducia (`Trust depth`), in modo che Traefik ricavi l'indirizzo originale del client dall'intestazione `X-Forwarded-For`. Vedere [Proxy frontend](../configuration/proxy.md#frontend-proxies-section).
+
+  Quando un nodo ha dei proxy frontend, la restrizione `Consenti l'accesso da` delle sue rotte HTTP controlla l'indirizzo originale del client invece dell'indirizzo del proxy. Le liste di accesso devono contenere gli indirizzi dei client, e le rotte con restrizioni, incluso `cluster-admin`, rifiutano le richieste che raggiungono il nodo direttamente senza passare da un proxy frontend. Aggiungere la rete LAN a `Consenti l'accesso da` ammette i client della LAN solo quando si collegano tramite un proxy frontend.
+
+- **Ricerca ed evidenziazione nei log di sistema** \[Core 3.20.1, 3.22.0\] -- La pagina `Log di sistema` ha un nuovo interruttore per cercare le righe di log con un'espressione regolare invece che con una semplice corrispondenza di testo. Le righe di errore e di avviso sono evidenziate con colori diversi.
+
+- **Pagine più veloci senza accesso a internet** \[Core 3.20.1, 3.22.0\] -- Quando i repository software non sono raggiungibili, ad esempio in un cluster senza accesso a internet, le pagine `Stato del cluster`, `Applicazioni` e `Software center` non attendono più lunghi timeout di rete. I repository vengono interrogati in parallelo e le loro risposte vengono memorizzate in cache.
+
+- **Dimensione delle pagine delle tabelle ricordata** \[Core 3.23.0\] -- La scelta `Elementi per pagina` delle tabelle viene salvata nel browser e viene mantenuta tra un cambio di pagina e l'altro e dopo un ricaricamento. Le applicazioni ottengono questo comportamento quando aggiornano la loro libreria UI.
+
+- **Metriche delle risorse per container** \[Core 3.22.0, Metrics 1.4.0\] -- Le metriche dei nodi includono ora l'uso di CPU e memoria di ogni container delle applicazioni e lo spazio su disco usato da ogni applicazione, aggiornato una volta al giorno. La nuova dashboard Grafana `Containers` le mostra, così è possibile individuare quale applicazione sta consumando le risorse del nodo. Vedere [Accesso a Grafana](../configuration/metrics.md#grafana_access-section).
+
+- **Interfaccia web di CrowdSec** \[CrowdSec 1.2.0\] -- Nuove pagine di CrowdSec rendono visibile ciò che prima era accessibile solo da riga di comando:
+  - `Rilevamenti` elenca le attività sospette passate con il loro scenario, l'IP di origine, il paese e il log degli eventi.
+  - `Raccolte` abilita o disabilita le raccolte di rilevamento di ogni servizio.
+  - `Blocklist` raggruppa la blocklist locale, la blocklist community con lo stato di connessione alla Central API e la ricerca degli IP, e l'allowlist.
+
+  Vedere [CrowdSec](../applications/crowdsec.md).
+
+- **Protezione CrowdSec per NethVoice** \[CrowdSec 1.2.0\] -- La nuova raccolta `nethesis/nethvoice` rileva gli attacchi brute-force SIP contro Kamailio, e gli attacchi brute-force HTTP e le scansioni di exploit contro le applicazioni web di NethVoice. La raccolta è abilitata nelle nuove installazioni; dopo un aggiornamento, abilitarla dalla pagina `Raccolte`.
+
+- **CrowdSec Threat Shield** \[CrowdSec 1.3.0\] -- I sistemi con una subscription inviano a Nethesis gli indirizzi IP bloccati da CrowdSec, e gli indirizzi segnalati da un numero sufficiente di sistemi vengono aggiunti a una blocklist condivisa. Con il componente aggiuntivo Threat Shield della subscription, la nuova pagina `Threat Shield` abilita questa blocklist e altre blocklist mantenute da Nethesis, e verifica se un indirizzo IP è presente in esse. Queste blocklist sono disabilitate per impostazione predefinita. Vedere [CrowdSec](../applications/crowdsec.md).
+
+- **Storico dei ban di CrowdSec** \[CrowdSec 1.3.0\] -- La nuova dashboard Grafana `CrowdSec Bans` mostra i ban registrati durante l'intero periodo di conservazione dei log: una mappa per paese, i ban nel tempo, i paesi principali, i provider, gli scenari, la durata dei ban e gli indirizzi IP bloccati più spesso. Sono stati inoltre corretti i pannelli vuoti o errati delle dashboard CrowdSec esistenti. Vedere [Accesso a Grafana](../configuration/metrics.md#grafana_access-section).
+
+- **Classificazione delle firme antivirus di terze parti** \[Mail 1.7.13\] -- L'impostazione `Classificazione firme di terze parti` dell'antivirus di Mail non veniva applicata, e veniva sempre usata la classificazione `Medio`. L'impostazione è ora effettiva, quindi i risultati del rilevamento possono cambiare se era stata selezionata una classificazione diversa. Vedere [Antivirus](../applications/mail.md#anti-virus).
+
+- **Login di posta con Active Directory** \[Mail 1.7.13\] -- Dovecot non segue più i referral LDAP restituiti da Active Directory. Questo elimina connessioni inattese alla porta 636 e query DNS ripetute, e risolve i timeout di login segnalati in alcune installazioni migrate da NethServer 7.
+
+- **Cartelle predefinite di Roundcube** \[Roundcube 2.1.7\] -- Le cartelle `Drafts` e `Sent` vengono create al primo login di un utente, invece che all'invio del primo messaggio. I client di posta configurati in seguito trovano le cartelle standard e non ne creano di localizzate, come `Posta inviata`.
+
+- **Aggiornamenti di WebTop** \[WebTop 1.5.11\] -- WebTop è stato aggiornato alla release upstream 5.35.7 e il PEC bridge alla release 5.4.11. Il file di autoconfigurazione di Thunderbird indica ora IMAP sulla porta 993 e SMTP sulla porta 465 con TLS implicito, come già avveniva per Outlook. Vedere [Configurazione dei client](../applications/mail.md#email_clients).
+
+- **Immagine container di Piler** \[Piler 1.3.0\] -- L'applicazione Piler usa ora un'immagine container costruita dal progetto NethServer invece di quella upstream, in modo che gli aggiornamenti di sicurezza e le nuove release di Piler vengano testati e distribuiti insieme al modulo. Il container viene eseguito come utente non privilegiato, e i log di Piler, prima persi, vengono ora inviati al journal di sistema. L'azione di importazione della posta funziona di nuovo, poiché ora scarica i messaggi tramite IMAP prima di importarli. Vedere [Piler](../applications/piler.md).
+
+- **Dependency-Track 5** \[Dependency-Track 2.0.0\] -- L'applicazione Dependency-Track è stata aggiornata alla versione principale 5, poiché la versione 4 ha raggiunto la fine del supporto. Le installazioni esistenti non vengono aggiornate automaticamente: il database deve essere migrato con una procedura manuale, e alcune impostazioni devono essere configurate di nuovo. Vedere [Upgrading from Dependency-Track v4 to v5](https://github.com/NethServer/ns8-dependencytrack#upgrading-from-dependency-track-v4-to-v5).
+
+- **Debian 12 non più supportata** \[Core 3.23.0\] -- Come annunciato nelle note di rilascio della 8.8, l'installer non accetta più Debian 12. I nodi Debian 12 esistenti non sono interessati da questa modifica, ma dovrebbero essere aggiornati a Debian 13 seguendo la procedura descritta nelle note di rilascio della 8.8.
+
+- **Limite di istanze per nodo da riga di comando** \[Core 3.23.0\] -- Il comando `add-module` rispetta ora il limite di istanze per nodo di un'applicazione, come il `Software center`. Ad esempio, rifiuta di installare una seconda istanza di CrowdSec sullo stesso nodo. L'opzione `--force` salta il controllo.
+
+- **Altri aggiornamenti delle applicazioni** -- Loki 1.5.0 (upstream 3.7), Nextcloud 1.7.6.
+
 ## Modifiche principali del 30-06-2026
 
 **Milestone 8.9**