CakePHP corrige una inyección SQL con CVSS 9.2 en su ORM, pgAdmin 4 repara una omisión de autenticación con CVSS 9.8, Grav CMS suma una segunda falla crítica de la semana, Red Hat documenta un riesgo de credenciales en Quay sin evidencia de explotación, devalue corrige una denegación de servicio en el ecosistema de Svelte, un rastreo comunitario halla 34 paquetes maliciosos nuevos en npm y PyPI, y Cloudflare workerd extiende a 38 días su racha de lanzamientos diarios.
La falla, presente en cuatro métodos de la clase FunctionsBuilder desde la versión 4.5, permite inyectar SQL sin escapar a través de parámetros de tipo de dato, parte de fecha o unidad temporal, según el aviso publicado ayer.
El catálogo de avisos de seguridad de GitLab Advisory Database publicó, el 17 de setiembre de 2026, el aviso CVE-2026-79752 sobre CakePHP, uno de los frameworks de PHP más usados para desarrollo web bajo el patrón MVC, con severidad crítica (CVSS 9.2). La falla está en cuatro métodos de la clase FunctionsBuilder -cast(), extract(), datePart() y dateAdd()-, que incorporan directamente a la sentencia SQL generada valores como el tipo de dato, la parte de fecha o la unidad temporal sin sanearlos, según el aviso, lo que permite a un atacante que controle esos parámetros inyectar SQL arbitrario con impacto en confidencialidad, integridad y disponibilidad de la base de datos. La falla afecta todas las versiones anteriores a 4.5.12, la rama 4.6.x anterior a 4.6.5, la 5.1.x anterior a 5.1.9, la 5.2.x anterior a 5.2.14 y la 5.3.x anterior a 5.3.7. CakePHP es, según su propia documentación, uno de los frameworks de PHP de código abierto más antiguos todavía en mantenimiento activo, con adopción amplia en aplicaciones empresariales y de comercio electrónico que priorizan convenciones sobre configuración. Una inyección SQL en la capa de construcción de consultas del ORM -la abstracción que se supone protege contra ese tipo de ataque- compromete precisamente la defensa central que el framework promete a quien confía en su generador de consultas en lugar de escribir SQL a mano. El aviso no reporta explotación activa ni prueba de concepto pública al cierre de esta edición, y tampoco identifica a quien reportó la falla. La información de este caso proviene únicamente del aviso de GitLab Advisory Database, sin cobertura cruzada de otro medio especializado en seguridad al cierre de esta edición. Costa Rica tiene una comunidad de desarrollo PHP activa en agencias digitales y sistemas de gestión institucional que usan frameworks como CakePHP y Laravel; cualquier equipo tico que use CakePHP en producción debería confirmar hoy mismo la versión instalada y completar la actualización si construye consultas dinámicas con datos de usuario en los métodos afectados.
La versión 9.18, publicada el 17 de setiembre, corrige una falla que permitía a cualquier cliente asumir la identidad de un administrador con solo enviar una cabecera HTTP falsificada al servidor de pgAdmin en modo Webserver.
El equipo de pgAdmin publicó, el 17 de setiembre de 2026, la versión 9.18 de la herramienta de administración de PostgreSQL más usada del ecosistema, con cuatro correcciones de seguridad, según el anuncio oficial en postgresql.org. La más severa, CVE-2026-86863 (CVSS 9.8, crítica), está en el modo de autenticación Webserver, pensado para que un servidor web o proxy inverso al frente de pgAdmin le indique qué usuario ya inició sesión: según el reporte técnico del propio proyecto en GitHub, la función get_user() leía el nombre configurado en WEBSERVER_REMOTE_USER directamente de las cabeceras de la solicitud entrante cuando no lo encontraba en el entorno WSGI, y una cabecera la escribe quien envía la solicitud, no el servidor. Eso permitía a cualquier cliente que llegara a pgAdmin afirmar cualquier identidad -incluida la de un administrador- sin presentar contraseña ni token. La falla afecta las versiones 6.2 a 9.17, es decir, prácticamente toda la vida útil reciente de la herramienta, y se corrige exigiendo que el operador habilite explícitamente la bandera WEBSERVER_REMOTE_USER_FROM_HEADER, que la solicitud llegue desde una dirección listada en WEBSERVER_TRUSTED_PROXIES y, si se configura, que un secreto compartido coincida mediante comparación de tiempo constante. pgAdmin es, junto con DBeaver, una de las interfaces gráficas más usadas para administrar bases de datos PostgreSQL en entornos corporativos y educativos; una omisión de autenticación en su modo Webserver -pensado precisamente para desplegarse detrás de un proxy corporativo- repite el mismo tipo de falla de confianza mal ubicada que esta sección reportó el lunes en la falla crítica de GitLab, que sigue sin cifras de cumplimiento pese a que su plazo venció hace cuatro días. El proyecto no reporta explotación activa confirmada al cierre de esta edición. Costa Rica tiene bancos, universidades y empresas de zonas francas tecnológicas que administran bases de datos PostgreSQL con pgAdmin como interfaz de gestión; cualquier instancia expuesta en modo Webserver detrás de un proxy debería actualizar a la versión 9.18 hoy mismo, en particular si no tiene activado un mecanismo adicional de autenticación de red.
El catálogo de avisos de GitLab Advisory Database publicó, el 17 de setiembre de 2026, la falla CVE-2026-75827 sobre Grav, el gestor de contenido de PHP basado en archivos planos que esta sección cubrió apenas ayer por otros tres avisos moderados. La nueva falla, de severidad crítica, está en la validación de funciones dinámicas de los blueprints (plantillas de configuración) de Grav: el código solo revisa una lista negra de funciones peligrosas mediante Utils::isDangerousFunction(), y esa lista no incluye error_log, según el análisis técnico del aviso. Un atacante con acceso de edición de página o de configuración de blueprint puede invocar error_log a través de una directiva de datos para anexar código PHP a archivos accesibles desde la web y lograr ejecución remota de código. El defecto ilustra el mismo patrón estructural que domina la seguridad de Grav esta semana: mecanismos de bloqueo basados en listas negras que fallan por omisión en lugar de listas blancas que fallan de forma segura, la misma crítica que las tres fallas de ayer, corregidas en la versión 2.0.0, ya habían expuesto en otras rutas del mismo sistema de blueprints. La corrección para esta falla llegó en Grav 2.0.15, cinco versiones menores después del parche de ayer, lo que sugiere que el equipo sigue auditando el mismo subsistema en busca de rutas equivalentes. No hay, en el aviso consultado, cifras de explotación activa ni el nombre de quien reportó la falla. Administradores costarricenses de sitios institucionales y blogs que corren Grav -el mismo público que esta sección advirtió ayer sobre las fallas de saneamiento- deberían completar la actualización a la versión 2.0.15 en el mismo ciclo de mantenimiento, en lugar de asumir que el parche de ayer cerró el capítulo de seguridad de la semana para este gestor de contenido.
El catálogo de avisos de GitLab Advisory Database publicó esta semana la falla CVE-2026-81176 sobre devalue, la librería de JavaScript que serializa valores a texto cuando JSON.stringify no alcanza -por ejemplo, para fechas, mapas o referencias circulares- y que el framework SvelteKit usa internamente para transferir datos entre el servidor y el cliente. Según el aviso, las versiones anteriores a la 5.9.2 no rechazan índices fuera de rango, mayores o iguales a la longitud del arreglo de valores, al analizar una carga, lo que permite a un atacante construir una entrada que hace que el analizador alterne entre representaciones de arreglo y genere trabajo de complejidad cuadrática a medida que la carga crece, agotando los recursos del servidor. La falla tiene severidad moderada, CVSS 5.3. El riesgo real depende de un factor que el propio aviso señala: solo afecta a aplicaciones que llaman devalue.parse() sobre datos que no son de confianza, un patrón menos común que analizar la propia salida serializada del servidor -el uso típico dentro de SvelteKit-, aunque cualquier integración que acepte cargas devalue de un cliente externo sí queda expuesta a una denegación de servicio completa. La corrección llegó en la versión 5.9.2, publicada por el equipo de Svelte que mantiene el paquete. No hay evidencia de explotación activa reportada en las fuentes consultadas. Costa Rica tiene una comunidad de desarrollo frontend activa en Vue, React y, en menor medida, Svelte, entre agencias digitales y startups locales; equipos que usan SvelteKit para aplicaciones con formularios expuestos a internet deberían confirmar la versión de devalue en su árbol de dependencias, aunque el riesgo directo es bajo para el patrón de uso más común del framework.
— La versión 5.9.2 de devalue, la librería de serialización que usa SvelteKit para transferir datos del servidor al cliente, corrige un fallo que permitía saturar el servidor con una carga que crece en complejidad cuadrática.
Red Hat documentó, en un aviso publicado esta semana, una falla en el flujo de trabajo que usa para publicar las imágenes de quay-builder-qemu, el componente de Red Hat Quay -su registro de contenedores de código abierto- que ejecuta compilaciones. La falla, identificada como CVE-2026-85469 (CVSS 8.0, importante), existe porque ese flujo de trabajo de GitHub Actions referencia la acción externa Noelware/docker-manifest-action fijada a una rama mutable en lugar de a un commit específico o una versión con etiqueta, según describió LinuxSecurity. Si alguien comprometiera esa acción externa o una cuenta con permiso para modificar su rama principal, el flujo de Quay descargaría y ejecutaría ese código durante un trabajo de publicación, en un entorno que ya tiene sesión iniciada en el registro de contenedores. Red Hat es explícito sobre el límite de esta falla, y ese matiz es la nota que distingue el caso del resto de fallas de cadena de suministro que domina la cobertura de seguridad esta semana: explotarla requeriría primero comprometer la acción externa o la cuenta que la controla, un paso previo que la propia firma no reporta como ocurrido. "No hay evidencia confirmada de que esto haya sucedido, de que se hayan robado credenciales o de que se hayan modificado imágenes publicadas", según el aviso citado por LinuxSecurity, una aclaración que contrasta con el tono de alarma que suele acompañar un CVSS de 8.0 y que sitúa el caso como un riesgo estructural de diseño de flujo de CI/CD, no como un incidente confirmado. El patrón -fijar una dependencia de CI/CD a una rama en lugar de a una versión inmutable- es uno de los errores de configuración más comunes en flujos de GitHub Actions, y no es exclusivo de Red Hat Quay. Costa Rica alberga operaciones de desarrollo de Red Hat en el país y equipos de zonas francas tecnológicas que usan registros de contenedores en sus flujos de entrega continua; cualquier equipo que mantenga acciones de GitHub fijadas a ramas en lugar de commits o versiones debería revisar esa práctica en su propio flujo, más allá de si usa Quay.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF (Open Source Security Foundation), registró en su reporte del 17 al 18 de setiembre de 2026 un total de 34 entradas nuevas -27 de npm y 7 de PyPI- más cuatro actualizaciones de versión, según el registro público del proyecto en GitHub. El lote incluye una serie de paquetes que imitan complementos de formularios para Tailwind CSS, un grupo identificado como el conjunto de sondeo "kartykgithub", una bifurcación troyanizada de Baileys -la librería no oficial más usada para automatizar WhatsApp- y un conjunto adicional de paquetes con nombres aleatorios de sondeo. Por separado, el propio proyecto Package Analysis de OpenSSF marcó el 17 de setiembre el paquete de npm idx_form_script en su versión 999.0.4 como malicioso, un número de versión inusualmente alto, típico de paquetes diseñados para instalarse por encima de cualquier dependencia legítima existente. El ritmo del hallazgo -34 paquetes nuevos en apenas 24 horas, después de otras 44 entradas identificadas entre el 16 y el 17 de setiembre en el mismo rastreo- confirma el patrón que esta sección viene documentando toda la semana: la velocidad de publicación de paquetes maliciosos en npm y PyPI supera con margen la capacidad de cualquier revisión manual, y depende cada vez más de rastreadores automatizados y comunitarios, no de los propios registros, para salir a la luz. compromised-packages-check es un proyecto independiente que consume el feed público de OpenSSF; no es un canal oficial de npm, PyPI ni de GitHub, y la información de este caso proviene únicamente de ese rastreo automatizado, sin confirmación cruzada de un aviso oficial de GitHub Advisory Database ni de cobertura de un medio especializado al cierre de esta edición. Ninguna de las entradas de este lote tiene, en las fuentes consultadas, cifras de descargas ni víctimas confirmadas. Costa Rica tiene una comunidad de desarrollo activa que usa Tailwind CSS en proyectos frontend y Baileys en automatizaciones de atención al cliente por WhatsApp, un caso de uso común entre pequeños comercios y agencias digitales ticas; verificar el nombre exacto y el mantenedor de cualquier paquete de automatización de WhatsApp antes de instalarlo sigue siendo la defensa más simple, sin que se conozca impacto local confirmado de este lote.
cat /feed/devopscloudflareworkers.md
La versión v1.20260918.1, publicada a la 01:08 UTC de hoy con diez colaboradores, habilita por defecto un backend de entrada y salida escrito en Rust y actualiza el motor V8 a la versión 15.4.
> Cloudflare publicó, a la 01:08 UTC de hoy 18 de setiembre de 2026, la versión v1.20260918.1 de workerd, el motor de ejecución de Cloudflare Workers, la trigésimo octava entrega consecutiva de la racha diaria sostenida desde el 12 de agosto, según el registro oficial de versiones del proyecto en GitHub. La entrega, con catorce cambios de diez colaboradores, habilita por defecto el backend de entrada y salida escrito en Rust mediante la bandera --//:io_backend, suma un manejador de UDP entrante, implementa un búfer circular (ring buffer) para las colas internas de streams y corrige que las tuberías nativas dejen de consumir un destino con escrituras pendientes. La entrega también actualiza el motor V8 a la versión 15.4 y mejora el manejo de las banderas de arranque de contenedores tras una cancelación.
> La migración del backend de entrada y salida a Rust, habilitada por defecto en esta entrega después de meses en fase experimental, es el cambio de mayor alcance técnico: sustituye una porción del núcleo de manejo de conexiones del motor, escrito históricamente en C++, por una implementación en un lenguaje con garantías de memoria más estrictas, la misma dirección que Cloudflare ya siguió con otros componentes de su infraestructura de red en años recientes. Cloudflare no ha publicado, en su registro de cambios, una fecha para retirar el backend anterior.
> Equipos costarricenses de zonas francas tecnológicas y agencias digitales que despliegan sobre Cloudflare Workers pueden revisar el nuevo manejador de UDP entrante para casos de uso que antes requerían un servicio externo, sin que la entrega de hoy incluya correcciones de seguridad marcadas como críticas.
La jornada del 18 de setiembre de 2026 en desarrollo estuvo marcada por dos fallas críticas en herramientas ampliamente usadas: una inyección SQL con CVSS 9.2 en el ORM de CakePHP y una omisión de autenticación con CVSS 9.8 en pgAdmin 4, la interfaz de administración más común para PostgreSQL. Grav CMS sumó una segunda falla crítica de la semana -ejecución remota de código vía la función error_log-, un día después de haber corregido otras tres fallas moderadas, y Red Hat documentó un riesgo de credenciales expuestas en el flujo de publicación de Red Hat Quay sin evidencia de explotación confirmada. En herramientas de desarrollo, Cloudflare extendió a 38 días su racha de lanzamientos diarios de workerd con la migración de su backend de entrada y salida a Rust, devalue corrigió una denegación de servicio de severidad moderada en el ecosistema de SvelteKit, y un rastreo comunitario documentó 34 paquetes maliciosos nuevos en npm y PyPI en apenas 24 horas. La falla crítica de GitLab que dominó la cobertura de esta sección desde el lunes, CVE-2026-85706, cierra la semana en el mismo punto en que la dejó ayer: sin que CISA ni GitLab hayan publicado cifras de cumplimiento del plazo que venció hace cuatro días, pese a la exfiltración de archivos SSH que watchTowr confirmó el fin de semana pasado. El hilo que conecta la semana completa es la brecha entre el aviso técnico y la certeza operativa: cuántas instancias de GitLab siguen expuestas, si el flujo de Red Hat Quay fue comprometido alguna vez, cuántos de los 34 paquetes de esta última barrida ya tienen víctimas. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué revisar primero la próxima semana.