GitHub anuncia que activará por defecto, desde el 22 de octubre, las funciones de Copilot que ningún administrador configure, un rastreo comunitario documenta 124 paquetes maliciosos nuevos en npm y PyPI con un intento de confusión de dependencias contra Egencia, pnpm 12.7.0 cierra tres fallas de seguridad en scripts de instalación, Cloudflare publica workerd v1.20260925.1 con mejoras a Durable Objects y SQLite, y Prisma ORM llega a su candidata de lanzamiento 8.0.0-rc.12 con cambios de esquema obligatorios.
GitHub anunció, el 24 de setiembre de 2026 en su registro oficial de cambios, una nueva política global por defecto para las funciones de GitHub Copilot en disponibilidad general dentro de los planes Business y Enterprise. A partir del 22 de octubre, toda función de Copilot que alcance disponibilidad general -incluidas la integración de servidores MCP y la revisión de código automática- se activa sola para los usuarios de una organización si ningún administrador tomó antes una decisión explícita sobre ella, según el anuncio de GitHub. Los administradores tienen, hasta esa fecha, una ventana de 28 días para fijar la política en modo "activado", "desactivado" o "que cada organización decida"; las decisiones ya tomadas función por función se respetan y no se sobrescriben, y las funciones que siguen en vista previa continúan exigiendo activación manual incluso después de llegar a disponibilidad general. Es el cuarto cambio de gobernanza o catálogo que esta sección documenta sobre Copilot en una semana, después de la aprobación automática de herramientas de bajo riesgo en Copilot for JetBrains el 22 de setiembre y el sandboxing local de la aplicación de escritorio el 23. El sitio especializado digitalapplied.com advirtió que la ventana de 28 días exige que cada administrador revise manualmente la política antes del 22 de octubre, porque a partir de esa fecha el silencio deja de significar "función desactivada": cualquier equipo que no actúe queda con las funciones nuevas encendidas por defecto, incluidas las que dan a un agente acceso a servidores MCP con permisos amplios sobre repositorios y datos. GitHub no publicó, en las fuentes consultadas, cuántas organizaciones ya fijaron una política explícita antes de este anuncio. Equipos de desarrollo en zonas francas costarricenses y bancos que administran Copilot de forma centralizada deberían revisar su política antes del 22 de octubre para decidir con criterio propio qué funciones activar, en lugar de heredar el valor por defecto de GitHub; no se conoce todavía qué política fijarán las empresas ticas que usan Copilot Enterprise.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, registró en su reporte del 24 al 25 de setiembre de 2026 un total de 124 entradas nuevas -121 de npm y 3 de PyPI-, según el registro público del proyecto en GitHub. El lote más que duplica el de ayer (56 entradas) y es el segundo más grande que el proyecto documenta en lo que va del mes, solo detrás de las 103 entradas del 23 de setiembre. Ocho paquetes bajo el alcance @egencia/ imitan paquetes internos de Egencia, la unidad de viajes corporativos de American Express Global Business Travel, en un intento de confusión de dependencias dirigido a sus sistemas de integración continua; otros veintidós bajo @client-web-next/ y diez más que amplían la campaña de confusión de dependencias contra el espacio de nombres interno de Epic Games completan buena parte del lote. En PyPI, el proyecto sumó tres paquetes: prosocks, un extractor de credenciales; vercel-runtime-python, que imita el nombre de un entorno de ejecución legítimo; y my-private-pkg, otra sonda de confusión de dependencias. No todas las 124 entradas representan malware activo confirmado: buena parte corresponde a lo que el propio proyecto cataloga como sondas de confusión de dependencias -paquetes que ocupan un nombre interno o corporativo sin necesariamente distribuir código dañino todavía-, una distinción que compromised-packages-check no siempre destaca en su recuento diario y que infla el número total frente al de compromisos confirmados con carga maliciosa activa, como el robador de credenciales prosocks. compromised-packages-check es un proyecto independiente que consume el feed público de OpenSSF; no es un canal oficial de npm, PyPI ni de GitHub, y la información de este caso proviene únicamente de ese rastreo automatizado, sin confirmación cruzada de un aviso oficial ni de cobertura de un medio especializado al cierre de esta edición. Costa Rica tiene una comunidad amplia de programadores JavaScript y Python en agencias digitales y zonas francas, algunas integradas a proveedores de viajes corporativos como Amex GBT; verificar el alcance (scope) exacto y el mantenedor de cualquier paquete antes de instalarlo sigue siendo la defensa más simple, sin que se conozca ningún caso costarricense afectado por este lote al cierre de esta edición.
cat /feed/cloudflareworkersworkerd.md
La versión v1.20260925.1, publicada a la 01:08 UTC de hoy, también suma reintentos a las llamadas RPC de Durable Objects y corrige contrapresión en streams, según el registro de versiones del proyecto.
> Cloudflare publicó, a la 01:08 UTC de este 25 de setiembre de 2026, la versión v1.20260925.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. El cambio más visible de la entrega, atribuido al ingeniero Josh Howard, aumenta a 8 mebibytes el límite de tamaño de una fila en el motor SQLite embebido que usan los Durable Objects, el doble del límite anterior, lo que permite guardar registros más grandes sin fragmentarlos manualmente en la capa de aplicación. La misma versión suma un mecanismo de reintento para las llamadas RPC entre Durable Objects que fallan durante la construcción del actor, y corrige varios errores de manejo de contrapresión (backpressure) en streams y tuberías (pipes), incluida la liberación incorrecta de una fuente de datos cuando falla la validación y una interleaving de iteradores asíncronos fuera de especificación.
> La entrega llega dos días después de la versión v1.20260923.1, que esta sección reportó el 23 de setiembre con mejoras al manejo de streams multibyte y observabilidad de RPC entre Durable Objects, y confirma que Cloudflare retomó su racha de publicaciones casi diarias en workerd tras una jornada del 24 de setiembre sin versión nueva. La versión de hoy también suma un punto de entrada del runtime escrito en Rust y actualiza BoringSSL, parte de la migración gradual del proyecto hacia componentes con garantías de seguridad de memoria que esta sección ya documentó el 22 de setiembre con el retiro del backend de entrada/salida en C++.
> Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Cloudflare Workers y Durable Objects reciben esta actualización de forma automática; el aumento del límite de fila en SQLite es útil sobre todo para quienes ya usan Durable Objects como base de datos embebida, sin que se conozca todavía adopción documentada de esa arquitectura entre equipos costarricenses.
El equipo de pnpm publicó, el 25 de setiembre de 2026, la versión 12.7.0 del gestor de paquetes, según las notas oficiales de la versión en GitHub. La entrega corrige tres problemas de seguridad: deshabilita la expansión de variables de entorno en el campo userAgent para evitar que valores sensibles se filtren hacia un registro de paquetes; bloquea la inyección de bin shims en instalaciones sobre Nix, que hasta ahora permitía que una dependencia redirigiera utilidades del sistema; y exige aprobación explícita (allowBuilds) para correr scripts de ciclo de vida de paquetes que viven en el almacén compartido dentro de un workspace. La versión también suma la opción --allow-build para aprobar o denegar de forma selectiva qué paquetes pueden correr scripts de instalación, con la decisión registrada en pnpm-workspace.yaml, y hace que el shim global de node lea la versión desde archivos .nvmrc o .node-version del proyecto. La corrección llega el mismo día en que esta edición documenta 124 paquetes maliciosos nuevos en npm y PyPI, varios de ellos diseñados para ejecutar código apenas se instalan; las tres fallas que pnpm cierra hoy apuntan directamente a ese vector -scripts de instalación sin supervisión y filtración de datos hacia el registro-, aunque la protección solo alcanza a los proyectos que ya usan pnpm como gestor de paquetes, no a los que siguen con npm o yarn. El proyecto no publicó identificadores CVE ni puntuación CVSS para ninguna de las tres correcciones, y sus notas de versión no indican si alguna llegó a explotarse antes del parche. Costa Rica tiene una comunidad de desarrollo JavaScript amplia en agencias digitales y startups, un segmento donde pnpm ha ganado terreno frente a npm y yarn por su manejo más eficiente de node_modules; los equipos ticos que ya usan pnpm reciben estas protecciones con solo actualizar, sin que se conozca todavía qué proporción de proyectos costarricenses corre la versión 12.x.
Prisma publicó, el 24 de setiembre de 2026, la versión 8.0.0-rc.12 de Prisma ORM, según las notas de la versión en GitHub. La entrega suma soporte de búsqueda de texto completo para PostgreSQL (fullTextMatches, fullTextRank, fullTextHeadline) y formaliza un cambio de sintaxis ya anticipado en versiones beta: todo archivo de esquema PSL debe llevar la directiva // use prisma-8 como primera línea para activar el nuevo motor de emisión de contratos, y la anotación dbgenerated(...) para valores por defecto generados en base de datos queda reemplazada por literales SQL etiquetados con el patrón @default(sql`...`), con la exigencia adicional de que el valor escrito sea uno que el tipo de dato de la columna acepte. Un modelo sin @@map pasa además a nombrar su tabla exactamente como está escrita en el esquema, sin la transformación de mayúsculas y minúsculas que aplicaban versiones anteriores, y la versión migra a @prisma/cli-engine@0.6.1, que reemplaza la función defineConfig, ya obsoleta, por definePrismaConfig. Prisma ORM es uno de los clientes de base de datos más usados en proyectos TypeScript y Node.js, y un cambio de sintaxis obligatorio en el archivo de esquema -el corazón de cualquier proyecto que use la herramienta- implica trabajo de migración real para quienes ya tienen esquemas grandes en producción antes de adoptar la versión 8 estable. Prisma no publicó, en las notas de esta candidata a lanzamiento, una fecha estimada para la versión 8.0.0 final ni cuántas versiones candidatas adicionales espera publicar antes de esa fecha. Costa Rica tiene una base amplia de programadores TypeScript y Node.js en agencias digitales, fintechs y startups que usan Prisma para acceder a bases de datos PostgreSQL y MySQL; equipos ticos con esquemas grandes deberían revisar la directiva // use prisma-8 y las anotaciones dbgenerated() antes de migrar a la versión 8, sin que se conozca todavía adopción documentada de la candidata a lanzamiento en el país.
— La versión 8.0.0-rc.12, publicada el 24 de setiembre, exige la directiva // use prisma-8 al inicio de cada archivo de esquema y reemplaza dbgenerated() por literales SQL etiquetados, según las notas oficiales del proyecto.
La jornada del 25 de setiembre de 2026 en desarrollo estuvo marcada por la gobernanza de herramientas y el parcheo preventivo: GitHub anunció que activará por defecto, desde el 22 de octubre, toda función de Copilot en disponibilidad general que un administrador no haya configurado antes, mientras un rastreo comunitario documentó 124 paquetes maliciosos nuevos en npm y PyPI -más del doble que ayer-, con un intento de confusión de dependencias dirigido a Egencia, la unidad de viajes de American Express Global Business Travel. En herramientas, pnpm 12.7.0 cerró tres fallas de seguridad ligadas a scripts de instalación y variables de entorno, Cloudflare publicó la versión v1.20260925.1 de workerd con mejoras a Durable Objects y al límite de fila de SQLite, y Prisma ORM llegó a su candidata de lanzamiento 8.0.0-rc.12 con cambios de esquema que exigen migración manual. El hilo que conecta buena parte de la jornada es quién decide, por defecto, qué corre sin supervisión: GitHub traslada a cada organización la carga de revisar 28 días de configuraciones de Copilot antes de que el silencio se convierta en "activado", y pnpm cerró justo hoy tres rutas por las que un script de instalación podía correr sin aprobación explícita, el mismo tipo de vector que explota buena parte de los 124 paquetes maliciosos que esta edición documenta en npm y PyPI. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué actualizar o configurar primero esta semana.