Checkmarx documenta un paquete de npm con cerca de dos millones de descargas semanales que resultó ser malware capaz de evadir los controles habituales contra scripts de instalación, un rastreo comunitario suma 48 paquetes maliciosos más entre el 20 y el 21 de setiembre, Cloudflare extiende a 40 días su racha de lanzamientos diarios de workerd y GitHub confirma el retiro de seis modelos de Copilot a partir del 19 de octubre.
El paquete indexed-btree, que imita a la librería legítima sorted-btree, escondía su carga maliciosa dentro de una función que solo se activa cuando una aplicación la usa en producción, no durante la instalación.
Checkmarx Zero publicó, el 17 de setiembre de 2026, un análisis técnico sobre indexed-btree, un paquete de npm que imita a sorted-btree, una utilidad común de indexación en árbol-B, y que había acumulado cerca de dos millones de descargas semanales antes de ser documentado como malicioso. Según la firma, el código dañino no vive en un script de instalación (preinstall o postinstall), sino injertado dentro del método BTree.prototype.set(), la ruta de código más usada de la librería: el gatillo se activa únicamente cuando una aplicación real inserta la clave con valor 100 y existe en disco un archivo de carga ofuscado. Checkmarx identificó, además de indexed-btree, otros nueve paquetes relacionados con la misma técnica -ordered-kv-index, btree-leaderboard, priority-slot-queue, btree-range-store, btree-core, btree-time-index, btree-lru-cache, neighbor-key-map y sliding-score-window-, con descargas combinadas adicionales. El malware huella el equipo de la víctima, exfiltra datos vía Slack y Telegram, y usa como canal de mando y control un contrato inteligente en la red de pruebas Sepolia de Ethereum, cuya billetera asociada retiene 109 ETH -cerca de 230.933 euros, según el tipo de cambio citado por Checkmarx-, un mecanismo sin dominio que bloquear ni servidor que incautar. Este hallazgo contradice la defensa que buena parte de la industria adoptó tras las oleadas de paquetes maliciosos de los últimos meses -incluidas las que esta sección reportó en setiembre con JFrog Artifactory, Rust y una racha diaria de paquetes en npm y PyPI-: bloquear o auditar los scripts de instalación. Checkmarx advierte explícitamente que indexed-btree "no depende en absoluto de scripts de pre o post-instalación", así que cualquier control que solo vigile esa etapa del ciclo de vida del paquete no habría detectado nada. BleepingComputer, que confirmó el hallazgo esta semana, no reportó una cifra oficial de organizaciones afectadas ni una respuesta pública de npm o de GitHub sobre la retirada de los diez paquetes al cierre de esta edición. Ni Checkmarx ni BleepingComputer precisan cuántas de las casi dos millones de descargas semanales corresponden a instalaciones activas todavía sin actualizar. Costa Rica tiene una comunidad de desarrollo en JavaScript y Node.js amplia entre agencias digitales y empresas de zona franca tecnológica, muchas de las cuales dependen de utilidades pequeñas como sorted-btree dentro de dependencias transitivas sin revisarlas directamente; cualquier equipo tico que use indexed-btree o alguno de los nueve paquetes relacionados debería retirarlo de inmediato, sin que se conozca ningún caso costarricense afectado al cierre de esta edición.
cat /feed/devopscloudflareworkers.md
La versión v1.20260920.1, publicada a la 01:12 UTC del sábado, corrige la propagación de errores en pares de transformación durante el enganche de interoperabilidad con Node.js, mientras la entrega de hoy llega sin notas de cambio detalladas.
> Cloudflare publicó, a la 01:12 UTC del 20 de setiembre de 2026, la versión v1.20260920.1 de workerd, el motor de ejecución de Cloudflare Workers, la cuadragésima entrega consecutiva de la racha diaria sostenida desde el 12 de agosto, según el registro oficial de versiones del proyecto en GitHub. La entrega, atribuida al ingeniero Colin (jasnell), corrige un error en cómo se propagaba la falla en ambas mitades de un par de transformación (transform pair) durante el enganche de interoperabilidad con Node.js, y ajusta la limpieza de un flujo de datos en cola una vez que todos sus consumidores fueron recolectados por el recolector de basura.
> La racha llegó hoy a su entrega número 41, la versión v1.20260921.1, publicada a la 01:12 UTC de este 21 de setiembre, pero el registro de versiones de GitHub no incluye, al cierre de esta edición, una lista detallada de cambios para esa entrega puntual -solo confirma que existe un commit de publicación sin descripción funcional adicional. Cloudflare tampoco ha explicado en las fuentes consultadas por qué sostiene esta cadencia diaria desde hace 41 días ni cuándo planea reducirla, la misma falta de explicación pública que esta sección señaló al reportar el día 39 de la racha.
> Equipos costarricenses de zonas francas tecnológicas y agencias digitales que despliegan sobre Cloudflare Workers y usan el soporte de interoperabilidad con Node.js pueden beneficiarse directamente de la corrección publicada ayer, sin que la entrega de hoy traiga, según la información disponible, cambios de seguridad marcados como críticos.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, registró en su reporte del 20 al 21 de setiembre de 2026 un total de 48 entradas nuevas -47 de npm y 1 de PyPI-, según el registro público del proyecto en GitHub. El lote incluye seis paquetes bajo los alcances falsos @nimbusedge2/ y @nimbsuedge3/xar, todos en versión 1.1.x, que suplantan una infraestructura llamada NimbusEdge; cuatro paquetes de confusión de dependencias bajo el alcance @siriusbeyond/ y el paquete independiente siriusbeyond en versión 1.0.0; y dos paquetes que imitan a Element Plus, una librería de componentes de interfaz muy usada en proyectos Vue -@asenfotech/unplugin-element-plus y element-plus-vite-cli-, publicados con números de versión inflados (2.9.3 y 2.9.5) para intentar ganarle prioridad a la dependencia legítima. El lote suma además una serie de paquetes de sondeo con nombres de prueba consecutivos y el paquete de PyPI rrs, publicado en versiones que van de 0.3.100 a 0.4.106, el mismo patrón de numeración inflada que esta sección documentó la semana pasada con otros casos. compromised-packages-check es un proyecto independiente que consume el feed público de OpenSSF; no es un canal oficial de npm, PyPI ni de GitHub, y la información de este caso proviene únicamente de ese rastreo automatizado, sin confirmación cruzada de un aviso oficial de GitHub Advisory Database ni de cobertura de un medio especializado al cierre de esta edición. El lote de hoy es más del doble que el reportado el 19 de setiembre (18 npm más 2 PyPI) y muy superior al de un solo paquete documentado el 20 de setiembre, sin que el proyecto explique si el repunte responde a una campaña coordinada o a una ventana de rastreo más amplia. Costa Rica tiene una comunidad de desarrollo frontend activa que usa Element Plus y librerías equivalentes en proyectos Vue dentro de agencias digitales y equipos de zona franca; verificar el nombre exacto, el mantenedor y el número de versión de cualquier paquete de interfaz antes de instalarlo sigue siendo la defensa más simple, sin que se conozca impacto local confirmado de este lote.
GitHub confirmó, el 18 de setiembre de 2026 en su blog de cambios (GitHub Changelog), que retirará seis modelos de GitHub Copilot en todas sus experiencias -Copilot Chat, edición en línea, los modos ask y agente, y el autocompletado de código- a partir del 19 de octubre de 2026: Gemini 3.7 Flash, GPT-5.5, GPT-5.4, GPT-5.4 mini, GPT-5 mini y Grok 4.5. Como alternativas sugeridas, GitHub propone Gemini 3.8 Flash, GPT-5.6 Sol, GPT-5.6 Luna y Grok 4.6, que quedarán habilitadas por defecto para clientes de Copilot Business y Enterprise a menos que un administrador haya desactivado la habilitación automática de modelos o inhabilitado explícitamente alguno de los nuevos, según el propio anuncio. Esta sección reportó el 19 de setiembre el recorte de hasta 44,3% en la asignación mensual incluida de Copilot Enterprise y de 36,7% en Copilot Business, y el 20 de setiembre la nueva función que resuelve automáticamente los comentarios de revisión de código ya atendidos; el retiro de modelos de hoy es la tercera actualización de política o producto que esta edición documenta sobre Copilot en menos de una semana. GitHub también habilitó, desde el 16 de setiembre, que las personas usuarias que llegan a su límite de créditos de IA soliciten a un administrador un aumento de presupuesto, según el resumen semanal de cambios de Copilot publicado el 20 de setiembre. Para equipos que ya vieron subir su costo operativo tras el recorte de créditos, la migración por defecto a modelos de reemplazo -sin necesidad de que un administrador la autorice explícitamente- puede alterar de nuevo ese cálculo sin previo aviso individual. GitHub no ha publicado, en las fuentes consultadas, cifras de cuántos clientes de Business o Enterprise usan hoy alguno de los seis modelos que se retiran. GitHub Copilot es una de las herramientas de asistencia de código de mayor adopción entre programadores costarricenses de empresas de zona franca; cualquier equipo tico que fije modelos específicos en su política de Copilot debería revisarla antes del 19 de octubre para evitar una migración automática no planificada.
La jornada del 21 de setiembre de 2026 en desarrollo volvió a estar dominada por la cadena de suministro de código abierto: Checkmarx documentó indexed-btree, un paquete de npm con cerca de dos millones de descargas semanales que escondía su malware fuera de los scripts de instalación que buena parte de la industria vigila como primera defensa, y un rastreo comunitario sumó 48 paquetes maliciosos más entre npm y PyPI en apenas 24 horas, más del doble que el lote reportado el sábado. En herramientas de desarrollo, GitHub confirmó el retiro de seis modelos de Copilot a partir del 19 de octubre, la tercera revisión de política sobre esa herramienta que esta sección documenta en una semana, mientras Cloudflare extendió a 41 entregas su racha de lanzamientos diarios de workerd, aunque la de hoy llegó sin notas de cambio publicadas. El hilo que conecta la mayoría de las historias de hoy es la confianza mal calibrada en un solo control: quien bloquea scripts de instalación pero no audita el código que se ejecuta después, quien confía en un paquete por su nombre parecido al original, o quien depende de una herramienta que cambia de modelo o de precio sin previo aviso individual. Ninguna de las historias de hoy tiene, según las fuentes consultadas, una respuesta oficial completa de npm, GitHub o Cloudflare sobre el alcance total del problema. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué revisar primero esta semana.