Un rastreo de exposición hecho hoy encuentra miles de instancias de JFrog Artifactory y GitLab alcanzables desde internet, tres semanas después de que se conociera la falla que ya usan atacantes para forjar tokens de administrador; el equipo de seguridad de Rust advierte de una tercera campaña de ingeniería social contra mantenedores de crates, GitHub Copilot sigue generando quejas por el recorte de cuotas gratuitas, Cloudflare workerd cumple 39 días de lanzamientos diarios, un rastreo comunitario suma 18 paquetes maliciosos nuevos en npm y Obot corrige una falla de SSRF en su registro de servidores MCP.
JFrog reveló el 28 de agosto de 2026 la falla CVE-2026-82329, una omisión de autenticación con severidad crítica (CVSS 9.8) en instalaciones autoalojadas de Artifactory, su gestor de repositorios de artefactos: el servicio Access construye la lista de "claves de unión" de clúster confiables dividiendo una cadena de configuración por comas sin filtrar entradas vacías, y en una instalación por defecto ese valor está vacío, así que una cadena vacía queda insertada como clave confiable. Como el secreto de firma de esa clave vacía es un valor fijo y determinístico, cualquier atacante puede forjar un token JWT de "unión" válido y obtener acceso completo de administrador con una sola solicitud HTTP, según documentó la firma de pruebas de intrusión Bishop Fox. La firma Fastly reportó que el tráfico de sondeo asociado a esta falla escaló de pruebas puntuales a rastreo masivo poco después de la divulgación, y la empresa de gestión de exposición watchTowr confirmó que, para el 1° de setiembre, ya observaba a atacantes generando tokens administrativos y enumerando usuarios, grupos, credenciales y relaciones de acceso federado en sistemas vulnerables, de acuerdo con The Hacker News. Un análisis de exposición publicado hoy en DEV Community, con consultas ejecutadas en ZoomEye el 19 de setiembre, encontró 1.526 coincidencias para Artifactory, 1.314.291 para GitLab autoalojado, 115.725 para Metabase y 680.348 para MongoDB alcanzables desde internet. El propio análisis advierte de un matiz que esta edición prefiere subrayar frente al impulso de leer esas cifras como catástrofe: "estos conteos describen activos que coinciden con una huella digital, no instancias confirmadas como vulnerables", así que el número real de instalaciones de Artifactory expuestas y sin parchar es, casi con certeza, menor a 1.526. Lo que sí es cierto, según el mismo análisis, es que la combinación de una omisión de autenticación por defecto con cualquier exposición directa a internet basta para el riesgo: un repositorio de artefactos debería ser alcanzable solo desde la red de compilación, nunca desde la red pública. JFrog corrigió la falla en las versiones 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 y 7.161.20, según su rama de soporte. BleepingComputer no precisó cuántas organizaciones ya confirmaron el parche desde agosto. Costa Rica alberga agencias digitales y equipos de zona franca tecnológica que usan Artifactory y GitLab autoalojado como pieza central de sus flujos de integración continua; cualquier equipo tico que exponga esas herramientas fuera de su red de compilación debería confirmar hoy mismo la versión instalada, sin que se conozca ningún caso costarricense afectado al cierre de esta edición.
El equipo de respuesta de seguridad de Rust, junto con crates.io, publicó el 17 de setiembre de 2026 en el blog oficial del lenguaje un aviso firmado por Adam Harvey sobre una campaña activa dirigida a miembros de rust-lang y a propietarios de crates populares, con el objetivo de comprometer sus dispositivos o cuentas para publicar malware desde perfiles que nadie tendría motivo para desconfiar. La táctica, según el aviso, arranca con una videollamada presentada como algo positivo -una oferta de trabajo, un proyecto, una oportunidad de contrato- desde perfiles corporativos y de LinkedIn que parecen legítimos a una revisión superficial, y de ahí deriva hacia instalar software (como un supuesto códec de audio faltante) o ejecutar un comando que la víctima misma copia y pega. El aviso ubica el caso dentro de un patrón, no como un incidente aislado: una campaña con la misma forma ya había apuntado a varios desarrolladores prominentes de Rust en junio, y el mes pasado el crate arrayref quedó comprometido brevemente mediante una táctica equivalente, con atacantes haciéndose pasar por el desarrollador real David Tolnay, según recogió Startup Fortune. El objetivo explícito no es encontrar un error en el código de nadie, sino tomar control de la máquina o las cuentas de un mantenedor para publicar malware desde una fuente de confianza establecida -la misma lógica de abuso de confianza que domina la cadena de suministro de código abierto en las últimas semanas. El equipo de seguridad recomendó desconfiar de contactos en frío, usar plataformas de llamadas verificadas, activar autenticación multifactor, revisar accesos recientes inesperados y reportar cualquier sospecha a los equipos de seguridad de crates.io o rust-lang. Ni el blog de Rust ni Phoronix, que confirmó el aviso, precisaron cuántos mantenedores fueron contactados en esta tercera ronda ni si algún ataque tuvo éxito más allá del caso de arrayref en agosto. Costa Rica tiene una comunidad de desarrollo en Rust todavía pequeña frente a JavaScript o Python, concentrada en equipos de infraestructura de algunas empresas de zona franca; no hay reporte de mantenedores costarricenses contactados por esta campaña, pero cualquier desarrollador tico que reciba una videollamada de reclutamiento no solicitada relacionada con un paquete que mantiene debería tratarla con la misma sospecha que recomienda el aviso oficial.
GitHub confirmó, en un cambio de políticas y facturación anunciado el 28 de agosto de 2026 en su blog oficial, que la asignación mensual incluida de Copilot Business bajó de 3.000 a 1.900 créditos -una reducción del 36,7%- y la de Copilot Enterprise, de 7.000 a 3.900 -una caída del 44,3%-, sin cambios en el precio del asiento, según documentó Developers Digest. El ajuste, que la propia empresa presentó como parte de una reforma más amplia de facturación por uso, coincidió con el vencimiento de los créditos promocionales que habían acompañado el lanzamiento del modelo de precios por token, un momento que parte de la comunidad de desarrolladores bautizó como el "acantilado de setiembre". GitHub encuadró el cambio como una medida contra el abuso y de previsibilidad de flujo de caja, no como un alza de precios, según recogió DevOps.com. La reacción entre programadores fue, sin embargo, mayoritariamente negativa: un hilo del foro de la comunidad de Copilot resumió la queja con el título "el nuevo esquema de precios de Copilot no tiene sentido", y firmas de análisis independientes documentaron aumentos de costo proyectados de entre 10 y 50 veces para usuarios intensivos de funciones agénticas una vez agotada la asignación anterior de unidades de solicitud premium, aunque los usuarios que solo usan autocompletado de texto vieron poco o ningún cambio, según Developers Digest. GitHub también relanzará, no antes del 28 de setiembre, una experiencia unificada de Copilot Chat en github.com, en GitHub Mobile y en el agente en la nube, que sustituye las políticas separadas por una sola habilitada por defecto. GitHub no ha publicado, en las fuentes consultadas, cifras de cuántos clientes de Business o Enterprise cancelaron asientos desde el 1° de setiembre. GitHub Copilot es una de las herramientas de asistencia de código de mayor adopción entre programadores costarricenses que trabajan para empresas de zona franca, así que un recorte real en la cuota incluida afecta de forma directa el costo operativo de esos equipos, sobre todo los que ya integran Copilot en flujos de trabajo agénticos.
cat /feed/devopscloudflareworkers.md
La versión v1.20260919.1, publicada a la 01:05 UTC de hoy, corrige un fallo del recolector de basura durante el cambio de pila de Python y transforma un flujo de escritura tras una espera de contrapresión.
> Cloudflare publicó, a la 01:05 UTC de hoy 19 de setiembre de 2026, la versión v1.20260919.1 de workerd, el motor de ejecución de Cloudflare Workers, la trigésimo novena entrega consecutiva de la racha diaria sostenida desde el 12 de agosto, según el registro oficial de versiones del proyecto en GitHub. La entrega corrige una falla que transformaba de forma incorrecta un TransformStream detenido ("parked") después de una espera de contrapresión, aplica una corrección urgente para un fallo del recolector de basura durante el cambio de pila ("stack switching") de Python, suma tipos para el enlace SQL de Analytics Engine, divide los resultados de agotamiento de reintentos de actores y aumenta su tiempo de espera progresivo, y documenta patrones de limpieza de corrutinas.
> La racha, que ya suma 39 días sin que Cloudflare haya explicado públicamente su cadencia ni una fecha para reducirla, sigue conviviendo con cambios de peso desigual día a día: mientras algunas entregas de la semana sumaron más de una decena de cambios, la de hoy se concentra en dos correcciones puntuales y ajustes de tipado, sin nuevas funciones mayores anunciadas.
> Equipos costarricenses de zonas francas tecnológicas y agencias digitales que despliegan sobre Cloudflare Workers y usan Python mediante el soporte experimental de cambio de pila pueden beneficiarse directamente de la corrección del recolector de basura de hoy, sin que la entrega incluya cambios de seguridad marcados como críticos.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF (Open Source Security Foundation), registró en su reporte del 18 al 19 de setiembre de 2026 un total de 20 entradas nuevas -18 de npm y 2 de PyPI-, según el registro público del proyecto en GitHub. El lote es más pequeño que el de la barrida anterior, que había sumado 34 entradas entre el 17 y el 18 de setiembre, pero mantiene el mismo tipo de campañas: nuevas imitaciones de complementos de formularios para Tailwind CSS y una bifurcación adicional de Baileys, la librería no oficial más usada para automatizar WhatsApp, publicada bajo el paquete @sanzoffc/baileys. El lote de hoy también documenta un grupo de paquetes con nombres de prueba consecutivos ("test89-auth", "test890-auth", "test899-auth", "test8999-auth"), un patrón típico de sondeo automatizado que un atacante usa para verificar si su método de publicación evade la detección antes de lanzar una campaña con nombres más convincentes. compromised-packages-check es un proyecto independiente que consume el feed público de OpenSSF; no es un canal oficial de npm, PyPI ni de GitHub, y la información de este caso proviene únicamente de ese rastreo automatizado, sin confirmación cruzada de un aviso oficial de GitHub Advisory Database ni de cobertura de un medio especializado al cierre de esta edición. Ninguna de las entradas de este lote tiene, en las fuentes consultadas, cifras de descargas ni víctimas confirmadas. Costa Rica tiene una comunidad de desarrollo activa que usa Tailwind CSS en proyectos frontend y Baileys en automatizaciones de atención al cliente por WhatsApp, un caso de uso común entre pequeños comercios y agencias digitales ticas; verificar el nombre exacto y el mantenedor de cualquier paquete de automatización antes de instalarlo sigue siendo la defensa más simple, sin que se conozca impacto local confirmado de este lote.
GitHub catalogó, el 18 de setiembre de 2026, el aviso GHSA-jgh3-fggc-mcpm sobre Obot, una plataforma escrita en Go para desplegar y administrar servidores del Protocolo de Contexto de Modelo (MCP, por sus siglas en inglés), la capa que cada vez más herramientas de codificación asistida por IA usan para conectarse a fuentes de datos externas. La falla, de severidad alta, permite que la URL de un servidor MCP remoto -controlada por el usuario que lo registra- se consulte desde el servidor sin validar su destino: no hay protección contra direcciones de loopback, rangos privados RFC1918 ni contra el endpoint de metadatos de instancias en la nube (169.254.169.254), según el aviso técnico. Cualquier usuario con rol de Power User, Power User Plus o Administrador puede así forzar a Obot a hacer solicitudes a servicios internos y leer la respuesta. El aviso subraya que se trata de una falsificación de solicitudes del lado del servidor "no ciega": Obot refleja en su panel de administración los errores de conexión, de análisis y el propio contenido de la respuesta, lo que permite a un atacante enumerar servicios internos y extraer configuración o credenciales sensibles en lugar de solo confirmar si un puerto está abierto. La falla afecta a instalaciones de Obot en su versión 0.22.1 o anterior que tengan la autenticación activada y permitan a usuarios con privilegios elevados registrar servidores MCP remotos, y se corrige actualizando a la versión 0.23.0. Ni GitHub ni OSV.dev reportan explotación activa confirmada de esta falla al cierre de esta edición. La adopción de plataformas de gestión de servidores MCP como Obot es todavía incipiente entre equipos de desarrollo costarricenses, que en su mayoría siguen integrando MCP de forma directa en editores como VS Code o Claude Code; cualquier agencia tica que sí administre servidores MCP mediante Obot debería confirmar la versión instalada antes de exponer el registro de servidores a usuarios sin privilegios de plena confianza.
— La falla, publicada el 18 de setiembre, dejaba que cualquier usuario con rol de Power User registrara un servidor MCP remoto y usara Obot para leer servicios internos y el endpoint de metadatos de instancias en la nube.
La jornada del 19 de setiembre de 2026 en desarrollo estuvo dominada por la cadena de suministro de software: un rastreo de exposición hecho hoy mismo encontró miles de instancias de JFrog Artifactory, GitLab y Metabase alcanzables desde internet, tres semanas después de que se conociera la falla que atacantes ya explotan para forjar tokens de administrador, mientras el equipo de seguridad de Rust advirtió de una tercera campaña de ingeniería social contra mantenedores de crates desde junio. En herramientas de desarrollo, GitHub Copilot siguió generando quejas por el recorte de hasta 44% en sus cuotas mensuales incluidas, Cloudflare extendió a 39 días su racha de lanzamientos diarios de workerd, un rastreo comunitario sumó 18 paquetes maliciosos nuevos en npm y Obot corrigió una falla de SSRF en su registro de servidores MCP. El hilo que conecta casi toda la edición es el mismo: la confianza mal ubicada, ya sea en una clave de configuración vacía que Artifactory trata como válida, en un mantenedor de Rust que responde a una videollamada de reclutamiento, o en un paquete de npm con un nombre casi idéntico al original. Ninguna de las historias de hoy depende de una técnica sofisticada; todas dependen de que alguien, en algún punto de la cadena, confió en algo que no debía. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué revisar primero la próxima semana.