CRI-O corrige dos fallas críticas de restauración de contenedores con CVSS hasta 9.9, Cloudflare declara disponibilidad general de Python Workers y retira el backend de entrada/salida en C++ de workerd, GitHub Copilot suma el modelo Grok 4.7 para tareas agénticas, Node.js 26.10.0 lleva throttle y debounce al núcleo del lenguaje, y un rastreo comunitario documenta 36 paquetes maliciosos más en npm y PyPI.
El proyecto corrigió, el 21 de setiembre, dos fallas que permiten a un atacante con acceso limitado a un clúster de Kubernetes ejecutar código como root al restaurar contenedores desde puntos de control CRIU.
El repositorio de CRI-O, el motor de ejecución de contenedores que usan Kubernetes y OpenShift, publicó el 21 de setiembre de 2026 dos avisos de seguridad críticos. El primero, GHSA-pgj4-7h26-2r47 (CVE-2026-92574, CVSS 9.9), describe cómo un contenedor restaurado desde un punto de control CRIU conserva su identidad de usuario, sus capacidades de Linux, su bandera no_new_privs y su filtro seccomp originales en lugar de aplicar el contexto de seguridad del destino, lo que permite escalar privilegios y evadir tanto los controladores de admisión como el registro de auditoría, porque Kubernetes y CRI-O reportan el estado de seguridad solicitado y no el real. El segundo, GHSA-399r-2whw-f7gg (CVE-2026-15801), es más grave en su mecanismo: un atacante que pueda publicar una imagen en un registro del que el nodo descarga contenido, combinado con permisos para crear pods, puede incluir en el archivo de punto de control una anotación io.kubernetes.cri-o.LogPath manipulada, que CRI-O escribe como root al restaurar, lo que abre la puerta a ejecución remota de código y compromiso total del nodo. Ambas fallas afectan a todas las ramas soportadas de CRI-O -1.34, 1.35, 1.36 y 1.37- y quedaron corregidas el mismo 21 de setiembre en las versiones 1.34.14, 1.35.9, 1.36.6 y 1.37.1, según el registro de versiones del proyecto en GitHub. Los mantenedores recomiendan, además de actualizar, desactivar la restauración de contenedores fijando checkpoint_restore.container_level_enabled en "checkpoint_only" o deshabilitando por completo el soporte de CRIU; de hecho, las versiones corregidas ya cambian ese valor a "checkpoint_only" por defecto, así que un clúster que no pueda actualizar de inmediato reduce buena parte del riesgo con ese solo cambio de configuración. ¿Explota alguien esto activamente? Ninguno de los dos avisos reporta explotación confirmada al cierre de esta edición. La función de checkpoint/restore de contenedores es un uso relativamente especializado -pensado para migrar cargas de trabajo en caliente o depurar procesos en producción- frente a un despliegue estándar de Kubernetes sin esa función habilitada. Costa Rica tiene despliegues de Kubernetes y OpenShift en bancos, aseguradoras y empresas de zona franca tecnológica, algunos gestionados por proveedores como IBM o VMware/Broadcom con presencia local; cualquier equipo tico que use CRI-O con restauración de contenedores habilitada debería aplicar el parche o el cambio de configuración de inmediato, sin que se conozca ningún caso costarricense afectado al cierre de esta edición.
El lenguaje corre ahora FastAPI, Django y Flask con enlaces nativos a bases de datos y servicios de la plataforma, sin la capa de conversión a JavaScript que complicaba la beta de dos años.
Cloudflare anunció, el 21 de setiembre de 2026 en su blog oficial, que Python Workers alcanzó disponibilidad general, con lo que Python pasa a ser un lenguaje de primera clase en la plataforma de desarrolladores de Cloudflare junto a JavaScript y TypeScript. El motor de ejecución sigue siendo Pyodide, la compilación de CPython a WebAssembly, corriendo dentro de un isolate de V8 en workerd; lo que cambia con la disponibilidad general es que ese Python ya se conecta de forma directa a Workers AI, R2, D1, Hyperdrive, Durable Objects, Queues y Workflows, sin la traducción manual de objetos Python a TypeScript en el límite de RPC que exigía la beta. Con Hyperdrive, un Worker en Python puede además conectarse a bases de datos PostgreSQL o MySQL con los controladores estándar del lenguaje, y librerías de IA como openai, langchain y mcp ya corren de forma nativa. Cloudflare cita como cifra de arranque que un Worker en Python inicia más de 2,4 veces más rápido que una función de AWS Lambda sin SnapStart y 3 veces más rápido que un servicio de Google Cloud Run, gracias a que la plataforma ejecuta el alcance superior del Worker una sola vez y restaura una instantánea de memoria en cada arranque de un nuevo isolate. Pero la disponibilidad general no borra una limitación de fondo: según la propia documentación de Cloudflare para Python Workers, tanto el módulo threading como multiprocessing siguen sin funcionar dentro de la máquina virtual de WebAssembly, así que cualquier aplicación Flask o Django que dependa de hilos del sistema operativo o de procesos bifurcados para su concurrencia no corre sin modificaciones en esta plataforma, una restricción que Simon Willison señaló en su análisis del anuncio como el límite real de qué tan "first-class" es hoy Python frente a JavaScript en Workers. Costa Rica tiene una comunidad de desarrollo en Python activa en ciencia de datos, automatización y algunas startups, y agencias digitales que ya despliegan sobre Cloudflare Workers en JavaScript; la disponibilidad general baja la barrera para que esos equipos muevan cómputo a la periferia sin reescribir en otro lenguaje, aunque la falta de hilos y procesos reales sigue bloqueando la migración directa de aplicaciones Flask o Django que dependan de esa concurrencia, sin que se conozca todavía adopción documentada en el país.
GitHub confirmó, el 21 de setiembre de 2026 en su blog de cambios (GitHub Changelog), que Grok 4.7, el modelo de razonamiento más reciente de xAI, comienza a habilitarse en GitHub Copilot para trabajo agéntico y flujos de varios pasos. El modelo queda disponible en las modalidades Pro, Pro+, Max, Business y Enterprise, y puede elegirse desde el selector de modelo en Visual Studio Code, Visual Studio, JetBrains, Xcode, Eclipse, la CLI de Copilot, el agente en la nube y la aplicación móvil de GitHub Copilot. Se factura a precio de lista del proveedor bajo el esquema de facturación por uso: 2 dólares por millón de tokens de entrada y 6 dólares por millón de tokens de salida, según el anuncio de xAI recogido por XenoSpectrum, un precio de salida entre 3,3 y 8,3 veces más bajo que el de otros modelos de frontera, lo que según esa cobertura favorece tareas largas e intensivas en herramientas. Esta sección documentó, el 19 de setiembre, un recorte de hasta 44,3% en la cuota mensual de Copilot Enterprise; el 20 de setiembre, niveles de selección de modelo por costo, calidad o velocidad; y el 21 de setiembre, el retiro de seis modelos -incluidos Gemini 3.7 Flash, GPT-5.5 y Grok 4.5- a partir del 19 de octubre. La incorporación de Grok 4.7 es así el cuarto ajuste de política o catálogo de modelos que esta edición registra sobre Copilot en menos de una semana, y llega apenas un mes antes de que ese lote de seis modelos deje de estar disponible. GitHub advierte que el despliegue será gradual y que administradores de Business y Enterprise pueden gestionar el acceso desde la política de modelos de Copilot. GitHub Copilot es una de las herramientas de asistencia de código más usadas entre programadores costarricenses de empresas de zona franca; para los equipos que ya ajustaron su consumo tras el recorte de cuota de setiembre, un modelo con precio de salida más bajo para tareas agénticas largas puede aliviar parte de ese costo operativo, sin que se conozca todavía adopción documentada en el país.
cat /feed/devopscloudflareworkers.md
La versión v1.20260922.1, publicada a la 01:07 UTC de hoy, elimina el backend de E/S en C++ y suma soporte para V8 15.5 y LLVM 22, según GitHub.
> Cloudflare publicó, a la 01:07 UTC de este 22 de setiembre de 2026, la versión v1.20260922.1 de workerd, el motor de ejecución de Cloudflare Workers, la cuadragésima segunda entrega consecutiva de la racha diaria que esta sección viene registrando desde el 12 de agosto, según el registro oficial de versiones del proyecto en GitHub. El cambio más relevante de la entrega, atribuido al ingeniero danlapid, elimina por completo el backend de entrada/salida escrito en C++ (la bandera --//:io_backend=cxx), que coexistía desde hace meses con su reemplazo en Rust, y completa así la migración de esa ruta de código a un lenguaje con garantías de seguridad de memoria. La misma entrega suma soporte de RPC para eventos entrantes connect() sobre UDP, trabajo del ingeniero ThomasRubini; actualiza la API compatible a V8 15.5; y mueve la compilación del proyecto a LLVM 22.
> A diferencia de las dos entregas anteriores de esta racha, que esta sección reportó el 20 y el 21 de setiembre sin notas de cambio sustanciales, la de hoy sí documenta un cambio arquitectónico completo: retirar una implementación en C++ en lugar de simplemente corregirla, algo que reduce la superficie de código en un lenguaje sin las garantías de memoria de Rust dentro del motor que ejecuta el código de terceros de Cloudflare Workers. Cloudflare no ha explicado, en las fuentes consultadas, por qué sostiene la cadencia de una entrega diaria desde hace 42 días ni si planea reducirla.
> Equipos costarricenses de zonas francas tecnológicas y agencias digitales que despliegan sobre Cloudflare Workers no requieren ninguna acción con esta entrega, que no trae avisos de seguridad asociados ni cambios de comportamiento visibles para quien programa; el beneficio de retirar el backend en C++ es interno a Cloudflare, sin impacto operativo inmediato reportado para esos equipos.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, registró en su reporte del 21 al 22 de setiembre de 2026 un total de 36 entradas nuevas -34 de npm y 2 de PyPI-, según el registro público del proyecto en GitHub. El lote incluye tres paquetes que imitan a Hardhat, el entorno de desarrollo de contratos inteligentes de Ethereum -hardhat-base, hardhat-core y hardhat-devkit-, un blanco que apunta directamente a desarrolladores que manejan billeteras y claves privadas; cinco paquetes de confusión de dependencias bajo el alcance @uh-platform/; dos bajo @baanx/; dos paquetes falsos bajo @vite-tab/; y tres casos de tipo-ocupación de utilidades matemáticas de uso común (math-universe, mathmain, mathsbase). En PyPI, el lote suma pullgetsage, un ladrón de sesiones de Telegram, y starlette-healthchecks, que imita a una librería de monitoreo para el framework Starlette. compromised-packages-check es un proyecto independiente que consume el feed público de OpenSSF; no es un canal oficial de npm, PyPI ni de GitHub, y la información de este caso proviene únicamente de ese rastreo automatizado, sin confirmación cruzada de un aviso oficial ni de cobertura de un medio especializado al cierre de esta edición. El lote de hoy es más pequeño que el reportado ayer (47 npm más 1 PyPI), pero sumados ambos días superan las 80 entradas maliciosas en 48 horas, sin que el proyecto explique si el ritmo responde a una campaña coordinada o a una ventana de rastreo más amplia. Costa Rica tiene una comunidad incipiente de desarrollo Web3 que usa Hardhat para contratos inteligentes, además de una base amplia de programadores JavaScript y Python en agencias digitales y zonas francas; confirmar el nombre exacto, el mantenedor y el número de versión de cualquier paquete antes de instalarlo sigue siendo la defensa más simple, sin que se conozca impacto local confirmado de este lote.
El proyecto Node.js publicó, el 22 de setiembre de 2026, la versión 26.10.0 de la rama Current, según el anuncio oficial en nodejs.org firmado por el colaborador Antoine du Hamel. La actualización, de tipo semver-minor, suma util.throttle() y util.debounce() como funciones nativas para limitar la frecuencia con que se ejecuta otra función, dos patrones de uso extremadamente común en JavaScript que hasta ahora la mayoría de proyectos resolvía instalando una librería externa como lodash o escribiendo una implementación propia. La versión también agrega util.markPromiseAsHandled() para silenciar advertencias de promesas sin atender, crypto.parsePKCS12() para leer certificados en ese formato, fs.openAsBlobSync() para abrir archivos como Blob de forma síncrona, soporte para serializar sockets vinculados (net.BoundSocket) entre hilos y procesos hijos, y una nueva clase SlidingWindowHistogram en el módulo de métricas de rendimiento. Llevar al núcleo del lenguaje funciones que antes vivían en dependencias externas reduce, de forma modesta pero concreta, la superficie de la cadena de suministro de un proyecto -un tema que esta sección ha cubierto de forma recurrente en las últimas semanas por los paquetes maliciosos hallados en npm y PyPI-, aunque el efecto solo alcanza a los proyectos que puedan actualizar a Node.js 26.10 o superior y decidan retirar la dependencia equivalente. Las notas de la versión no incluyen, según el anuncio oficial, avisos de seguridad marcados como críticos. Costa Rica tiene una base amplia de programadores Node.js en agencias digitales y empresas de zona franca tecnológica; contar con throttle y debounce nativos simplifica el mantenimiento de dependencias en esos equipos, sin que se conozca todavía cuántos proyectos ticos ya migraron a la rama 26.x.
— La versión, publicada hoy, suma util.throttle(), util.debounce() y crypto.parsePKCS12() al núcleo del lenguaje, dos utilidades que hasta ahora requerían instalar una librería externa como lodash, según el anuncio oficial de Node.js.
La jornada del 22 de setiembre de 2026 en desarrollo estuvo dominada por la infraestructura de contenedores y de cómputo en la periferia: CRI-O corrigió dos fallas críticas de restauración de contenedores, una de ellas con CVSS 9.9, que permitían escalar hasta privilegios de root en clústeres de Kubernetes y OpenShift, mientras Cloudflare declaró disponibilidad general de Python Workers y, en un movimiento separado dentro de la misma racha diaria de workerd, retiró por completo su backend de entrada/salida en C++ en favor de Rust. En herramientas de desarrollo, GitHub Copilot sumó el modelo Grok 4.7 de xAI para tareas agénticas, el cuarto ajuste de catálogo o política sobre esa herramienta que esta sección documenta en una semana, Node.js 26.10.0 llevó throttle y debounce al núcleo del lenguaje, y un rastreo comunitario sumó 36 paquetes maliciosos más entre npm y PyPI. El hilo que conecta buena parte de las historias de hoy es qué tanto puede confiar un sistema en el estado que otro componente le reporta: CRI-O restauraba contenedores confiando en los datos del punto de control en lugar de verificar el contexto de seguridad del destino, y la disponibilidad general de Python Workers demuestra el límite opuesto -una plataforma que declara un lenguaje como "de primera clase" pero que todavía no le da hilos ni procesos reales-. Ninguna de las dos fallas críticas de CRI-O tiene, según las fuentes consultadas, explotación activa confirmada al cierre de esta edición. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué revisar primero esta semana.