Un rastreo comunitario suma 30 paquetes maliciosos nuevos a npm y PyPI -20 de ellos parte de la expansión de la campaña de confusión de dependencias contra Epic Games-, GitHub Copilot estrena cambio de modelo a media conversación y mejoras para Slack y Microsoft Teams, Cloudflare publica workerd v1.20260926.1 con una corrección al manejo de conexiones TCP, y Visual Studio Code parchea en su versión 1.139.1 la pérdida de configuraciones administradas.
El proyecto compromised-packages-check documentó 30 entradas maliciosas nuevas en npm y PyPI entre el 25 y el 26 de setiembre, veinte de ellas ligadas a la campaña de confusión de dependencias contra Epic Games.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, registró en su reporte del 25 al 26 de setiembre de 2026 un total de 30 entradas nuevas -27 de npm y 3 de PyPI- más una actualización de versión, según el registro público del proyecto en GitHub. Veinte de las 27 entradas de npm amplían la campaña de confusión de dependencias contra el espacio de nombres interno de Epic Games que esta sección documentó por primera vez ayer, con paquetes publicados en la versión 1.0.0 bajo nombres como epic-games-nav-shared, epic-dynamo-utils y epic-file-upload que buscan ocupar rutas internas del estudio antes que nadie más lo haga. En PyPI, el lote suma tres paquetes: reqparser, tego-managed-agents-test y sherpy. El lote de hoy es más chico que el de ayer (124 entradas, el más grande del mes), pero la tercera ronda de nombres de Epic Games detectada en 48 horas -29 el 24 de setiembre, 10 más ese mismo día y 20 más hoy- apunta a una campaña sostenida y no a un episodio aislado, según el propio historial de reportes del proyecto. compromised-packages-check aclara, sin embargo, que buena parte de sus entradas corresponde a sondas de confusión de dependencias -paquetes que ocupan un nombre interno sin necesariamente distribuir código dañino todavía- y no a compromisos confirmados con carga maliciosa activa, una distinción que infla el recuento diario frente al de ataques con impacto verificado. El proyecto es una iniciativa independiente que consume el feed público de OpenSSF, no un canal oficial de npm, PyPI ni de Epic Games, y la información de este caso proviene únicamente de ese rastreo automatizado, sin confirmación cruzada de un aviso oficial ni de cobertura de un medio especializado al cierre de esta edición. Costa Rica tiene una comunidad amplia de programadores JavaScript y Python en agencias digitales y zonas francas, además de estudios locales de videojuegos y aplicaciones interactivas que integran herramientas de Epic Games como Unreal Engine; verificar el alcance exacto y el mantenedor de cualquier paquete con el prefijo epic- antes de instalarlo sigue siendo la defensa más simple, sin que se conozca ningún caso costarricense afectado por este lote al cierre de esta edición.
GitHub anunció, el 25 de setiembre de 2026 en su registro oficial de cambios, una actualización de GitHub Copilot para Slack y Microsoft Teams centrada en tareas de varios pasos. La actualización mejora el manejo de tareas de larga duración -con un estado más claro del plan de implementación, mejor manejo de respuestas interrumpidas o desactualizadas, y una reconexión más predecible cuando una conversación queda inactiva-, según GitHub. En Slack, Copilot puede usar ahora archivos, adjuntos y enlaces a mensajes como contexto de una tarea; en Microsoft Teams, la herramienta trabaja con imágenes incrustadas, contexto de mensajes reenviados e historial de canal e hilo. Es la sexta actualización o ajuste de gobernanza que esta sección documenta sobre GitHub Copilot en poco más de una semana, después de la aprobación automática de herramientas de bajo riesgo en Copilot for JetBrains el 22 de setiembre, el sandboxing local de la aplicación de escritorio y los controles de organización para revisión de código el 23, y el anuncio de activación por defecto de funciones sin configurar desde el 22 de octubre que esta sección reportó ayer. GitHub no publicó, en este anuncio, cifras de cuántos equipos ya usan Copilot dentro de Slack o Teams ni cuánto tiempo ahorra en tareas largas frente a una sesión estándar; la información proviene únicamente del registro de cambios oficial, sin cobertura cruzada de otro medio especializado al cierre de esta edición. Costa Rica tiene equipos de desarrollo en bancos, aseguradoras y empresas de zona franca que ya usan Slack o Microsoft Teams como canal principal de comunicación interna; la posibilidad de delegar tareas largas a Copilot desde esas mismas herramientas reduce el cambio de contexto hacia el navegador o el editor, aunque no hay reportes de adopción documentada en el país al cierre de esta edición.
GitHub publicó, el 25 de setiembre de 2026, su resumen semanal de novedades de GitHub Copilot correspondiente a la semana del 21 de setiembre, según su registro oficial de cambios. La novedad más relevante para el flujo diario de trabajo es la posibilidad de cambiar de modelo de lenguaje a media conversación desde el selector de modelo, sin abrir un hilo nuevo: Copilot conserva esa elección para el resto de la conversación, de acuerdo con GitHub. El mismo resumen confirma que el sandboxing local para la aplicación de escritorio -que esta sección reportó el 23 de setiembre- sigue en vista previa pública, y recuerda que la app ya soporta monitoreo de actividad de agentes vía OpenTelemetry a través de configuraciones administradas por la empresa, una función que GitHub había anunciado el 22 de setiembre y que esta sección no había cubierto hasta hoy. La función de OpenTelemetry deja exportar, hacia el backend de monitoreo propio de cada organización, trazas de llamadas a modelos y de uso de herramientas, métricas y eventos -sin el contenido de los prompts ni de las respuestas por defecto-, según la documentación técnica de GitHub recogida por WindowsForum; esa misma capacidad ya existía para VS Code, la CLI de Copilot y los IDE de JetBrains desde julio, así que la app de escritorio era el único cliente que quedaba fuera de ese control centralizado. Ni el cambio de modelo a media conversación ni el resumen semanal traen, según las fuentes consultadas, cifras de adopción ni de cuántas organizaciones ya activaron el monitoreo vía OpenTelemetry.
cat /feed/cloudflareworkersworkerd.md
La versión v1.20260926.1 de workerd, publicada hoy por Cloudflare, corrige el manejo de excepciones en conexiones TCP entrantes y actualiza la librería capnp-cpp, según el registro oficial de versiones.
> Cloudflare publicó, este 26 de setiembre de 2026, la versión v1.20260926.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. La entrega corrige el manejo de excepciones lanzadas dentro del manejador de eventos connect() sobre TCP, que hasta ahora podía dejar una conexión en un estado inconsistente en lugar de propagar el error de forma limpia, y actualiza capnp-cpp, la librería de serialización Cap'n Proto que workerd usa para su protocolo interno de comunicación entre procesos.
> Es una entrega más de la racha de versiones casi diarias que Cloudflare sostiene desde mediados de agosto, un ritmo que esta sección ha documentado de forma recurrente -incluidos el retiro del backend de entrada/salida en C++ el 22 de setiembre y el aumento del límite de fila en SQLite para Durable Objects el 25 de setiembre-. A diferencia de esas dos entregas, la de hoy es una corrección de estabilidad puntual y no trae cambios de arquitectura ni nuevas capacidades, según las notas oficiales.
> Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Cloudflare Workers reciben esta corrección de forma automática; el efecto directo sobre esos equipos es marginal porque la falla corregida requiere un patrón específico de manejo de conexiones TCP entrantes, sin que se conozca ningún caso costarricense afectado antes del parche.
Microsoft liberó a canal estable la versión 1.139 de Visual Studio Code el 23 de setiembre de 2026, según las notas oficiales de la versión. La entrega extiende el soporte de Dev Containers a sesiones remotas -un agente puede correr ahora dentro del contenedor de desarrollo del proyecto sobre hosts SSH, Tunnel o WSL-, acelera la carga de listas largas de sesiones de agente y permite renombrarlas en el lugar, y suma mejoras de edición cotidiana como un indicador de flecha para líneas que se ajustan al ancho del editor y la reutilización del corchete de cierre existente en lugar de insertar uno duplicado. Microsoft publicó además la versión de parche 1.139.1 el 25 de setiembre, que corrige un problema por el cual las configuraciones administradas (managed settings) se perdían cuando fallaba una actualización del lado del servidor, según cobertura del lanzamiento recogida por WindowsReport. VS Code es, según encuestas recientes de la propia Microsoft y de Stack Overflow, el editor de código más usado entre programadores profesionales, así que un error en la persistencia de configuraciones administradas afecta directamente a organizaciones que gestionan de forma centralizada políticas de extensiones y ajustes para sus equipos. Costa Rica tiene una base amplia de programadores que usan VS Code a diario en agencias digitales, bancos y empresas de zona franca tecnológica; los equipos con configuraciones administradas centralizadas deberían confirmar que ya actualizaron a la versión 1.139.1 para evitar quedar con políticas de extensión incompletas, sin que se conozca todavía impacto documentado en el país.
— Visual Studio Code 1.139 suma sesiones de agente sobre contenedores de desarrollo remotos, y su parche 1.139.1, publicado el 25 de setiembre, corrige una pérdida de configuraciones administradas.
La jornada del 26 de setiembre de 2026 en desarrollo giró alrededor de la cadena de suministro de código abierto y de las herramientas que los equipos usan a diario: un rastreo comunitario sumó 30 paquetes maliciosos nuevos a npm y PyPI, veinte de ellos parte de una tercera ronda de la campaña de confusión de dependencias contra Epic Games detectada en 48 horas. GitHub Copilot sumó dos anuncios el mismo día -mejoras para tareas largas en Slack y Microsoft Teams, y la posibilidad de cambiar de modelo a media conversación sin perder el hilo-, mientras Cloudflare publicó la versión v1.20260926.1 de workerd con una corrección al manejo de conexiones TCP y Microsoft liberó el parche 1.139.1 de Visual Studio Code para configuraciones administradas que se perdían tras un fallo de actualización. El hilo que conecta buena parte de la jornada es la corrección incremental sobre sistemas que ya funcionan: workerd y VS Code corrigieron fallas puntuales de estabilidad en lugar de sumar capacidades nuevas, y GitHub Copilot sigue construyendo, anuncio tras anuncio, el andamiaje de gobernanza y monitoreo alrededor de sus agentes. compromised-packages-check aclara que buena parte de sus 30 entradas de hoy son sondas de confusión de dependencias y no compromisos confirmados con carga maliciosa activa, una distinción que conviene tener presente antes de asumir el peor escenario en cada nombre nuevo del catálogo. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué actualizar o revisar primero la próxima semana.