Un rastreo comunitario documenta apenas cuatro paquetes maliciosos nuevos en npm y PyPI tras un mes de lotes de decenas, GitHub cierra una semana de seis cambios de gobernanza en Copilot con la política de activación automática del 22 de octubre a la vista, CodeQL 2.27.1 suma consultas de C/C++ y soporte de Kotlin 2.4.20, Terraform lleva sus políticas como código a disponibilidad general en la beta 1.17.0-beta2, y Cloudflare publica otra versión de workerd, esta vez sin cambios visibles para quien programa sobre Workers.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, registró en su reporte del 26 al 27 de setiembre de 2026 apenas cuatro entradas maliciosas nuevas -dos en npm y dos en PyPI- más una actualización de versión, según el registro público del proyecto en GitHub. En npm, chai-as-relay v1.2.1 se hace pasar por un complemento de pruebas de Chai pero esconde en lib/config.js un infostealer ofuscado de unos 4,4 megabytes (identificador MAL-2026-17189), y cma-self-hosted-sandbox-cf v1.0.0 usa un script de preinstalación para enviar el nombre del equipo, datos del usuario y el listado del directorio personal a infraestructura remota de comando y control (MAL-2026-17190). En PyPI, requests-cache-utils v1.0.0 imita por su nombre al paquete legítimo requests-cache y ejecuta código para robar información al instalarse o importarse (MAL-2026-17191), mientras que donutautosellsrc, en sus versiones 0.3.7 a 0.3.9, extrae código ofuscado desde archivos de imagen para cargar extensiones nativas con carga maliciosa (MAL-2026-17192). El proyecto también amplió el alcance de @alphaspace/core, ya catalogado, con la versión 99.0.3. Es el lote más chico que esta sección ha documentado en el último mes, muy por debajo de los 30 registrados entre el 25 y el 26 de setiembre, los 124 del 24 al 25 y los 56 del 23 al 24. compromised-packages-check advierte, sin embargo, que sus cifras diarias dependen de la ventana exacta de cada rastreo automatizado -y de cuántas campañas activas coinciden con ese período- y no reflejan necesariamente un cambio real en la actividad de los atacantes; el propio historial errático del proyecto (56, 124, 30 y ahora 4 en cuatro cortes consecutivos) hace prudente no leer el descenso de hoy como el fin de una tendencia. El proyecto es una iniciativa independiente que consume el feed público de OpenSSF, no un canal oficial de npm ni de PyPI, y la información de este caso proviene únicamente de ese rastreo automatizado, sin confirmación cruzada de un aviso oficial ni de cobertura de un medio especializado al cierre de esta edición. Costa Rica tiene una comunidad amplia de programadores JavaScript y Python en agencias digitales y zonas francas que instalan dependencias de npm y PyPI a diario; verificar el nombre exacto, el mantenedor y la fecha de publicación de cualquier paquete antes de instalarlo sigue siendo la defensa más simple, sin que se conozca ningún caso costarricense afectado por este lote al cierre de esta edición.
GitHub sumó, entre el 22 y el 26 de setiembre de 2026, seis cambios distintos en la gobernanza y las capacidades de GitHub Copilot, según su registro oficial de cambios. El 22 de setiembre llegaron el sandboxing local en vista previa pública para la aplicación de escritorio, la actualización 1.18 de Copilot para JetBrains -con habilidades compartidas a nivel de organización, controles persistentes por herramienta para servidores MCP y aprobaciones asistidas por IA en vista previa pública, según GitHub y una cobertura de WindowsForum- y la indexación de todo el código base en C++ para Copilot CLI. El 23 de setiembre, Copilot sumó controles de organización para su revisión automática de código. El 24, GitHub anunció que toda función de Copilot en disponibilidad general que un administrador no configure explícitamente se activará sola para los planes Business y Enterprise a partir del 22 de octubre. El 25, la herramienta mejoró sus integraciones con Slack y Microsoft Teams para tareas largas y sumó la posibilidad de cambiar de modelo de lenguaje a media conversación sin abrir un hilo nuevo. El hilo que conecta las seis novedades es el mismo que esta sección viene documentando desde hace más de una semana: GitHub sigue construyendo barandas técnicas y de gobernanza -sandboxing, monitoreo, controles de organización, políticas de activación por defecto- alrededor de lo que sus agentes de codificación pueden hacer sin supervisión directa, en lugar de resolver de una sola vez qué tan riesgosa es cada acción. La política de activación por defecto del 22 de octubre es la pieza más consecuente: traslada a cada administrador la carga de revisar, antes de esa fecha, qué funciones nuevas quiere encender, porque después de esa fecha el silencio deja de significar 'función desactivada'. Equipos de desarrollo en bancos, aseguradoras y empresas de zona franca costarricenses que administran Copilot Enterprise o Business de forma centralizada deberían fijar su política antes del 22 de octubre en lugar de heredar el valor por defecto de GitHub; no se conoce todavía qué decisión tomarán las organizaciones ticas que usan la herramienta.
— Entre el 22 y el 26 de setiembre, GitHub publicó seis cambios en Copilot -sandboxing, monitoreo, revisión de código y una política de activación automática- que esta sección documentó día a día.
GitHub anunció, el 25 de setiembre de 2026 en su registro oficial de cambios, la versión 2.27.1 de CodeQL, el motor de análisis semántico de código que alimenta el escaneo de seguridad (code scanning) de GitHub. La actualización suma nuevas consultas de detección para C y C++ y actualiza su soporte de Kotlin a la versión 2.4.20 del lenguaje, según el propio anuncio. GitHub integró la versión como paquete por defecto en la acción codeql-action, en sus versiones v4.38.2 y v3.38.2, publicadas el 24 de setiembre. CodeQL es la base del escaneo de seguridad de código que GitHub ofrece de forma gratuita a repositorios públicos y como función de pago para organizaciones privadas, y sus consultas cubren desde inyección SQL hasta condiciones de carrera y errores de manejo de memoria. Ampliar la cobertura de C y C++ -lenguajes con una historia larga de vulnerabilidades de memoria- y sumar una versión más reciente de Kotlin, el lenguaje principal de Android, mejora la capacidad de detección automática de fallas sin que el equipo de desarrollo tenga que escribir reglas propias. La información de este caso proviene únicamente del registro de cambios oficial de GitHub, sin cobertura cruzada de otro medio especializado al cierre de esta edición. Costa Rica tiene estudios de desarrollo móvil que usan Kotlin para aplicaciones Android y equipos de sistemas embebidos y videojuegos que programan en C y C++; cualquiera que use GitHub Advanced Security o el escaneo de código gratuito en repositorios públicos recibe las consultas nuevas de forma automática, sin que se conozca todavía adopción documentada en el país.
HashiCorp publicó, el 23 de setiembre de 2026, la versión 1.17.0-beta2 de Terraform, según las notas oficiales de la versión en GitHub. La entrega retira la exigencia de compilación experimental para Terraform Policy: la bandera -policies ya funciona de forma directa con los comandos plan, apply y query sin necesitar -allow-experimental-features, lo que marca la disponibilidad general de la función de políticas como código. La versión también permite usar variables y locals dentro de los bloques required_providers, suma la opción -minimal-refresh para que un plan solo actualice los recursos con cambios propuestos en lugar de toda la infraestructura, y agrega el campo format_version a la salida en JSON del comando version para poder cambiar ese formato de forma más segura en el futuro. Terraform es la herramienta de infraestructura como código más usada en la nube pública, y llevar las políticas como código a disponibilidad general baja la barrera para que un equipo imponga reglas de cumplimiento -qué tipo de instancia se puede crear, en qué región, con qué etiquetas- sin depender de una build experimental. La opción -minimal-refresh apunta directamente al costo y la lentitud de los planes en infraestructuras grandes, donde actualizar el estado de miles de recursos antes de cada cambio puede tomar minutos y consumir llamadas a la API del proveedor de nube. HashiCorp no publicó, en las notas de esta beta, una fecha estimada para la versión 1.17.0 estable. Costa Rica tiene bancos, fintechs y empresas de zona franca que administran su infraestructura en AWS y Azure con Terraform; equipos con reglas de cumplimiento internas podrían migrar sus validaciones a Terraform Policy sin builds experimentales una vez que la función llegue a la versión estable, sin que se conozca todavía adopción documentada de esta beta en el país.
cat /feed/cloudflareworkersworkerd.md
La versión v1.20260927.1, publicada a la 01:16 UTC de hoy, corrige la gestión de memoria en un componente escrito en Rust y ajusta una herramienta interna de revisión de código, según el registro de versiones.
> Cloudflare publicó, a la 01:16 UTC de este 27 de setiembre de 2026, la versión v1.20260927.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. El cambio con impacto técnico más claro, atribuido al ingeniero Dan Lapid, corrige la gestión de memoria en kj-rs -el puente entre el runtime en C++ de workerd y sus componentes escritos en Rust- para que un objeto KjOwn se libere a través del propio destructor de kj::Own en lugar de un mecanismo manual, un ajuste de seguridad de memoria más que una función nueva. La misma versión incluye dos cambios a 'Bonk', una herramienta interna de revisión automatizada de código que usa el equipo de workerd; ni el registro de cambios ni las dos solicitudes de cambios vinculadas explican qué hace Bonk ni por qué sus revisiones necesitaban ser más 'confiables, sensibles al contexto y precisas', según los títulos oficiales.
> Es una entrega más de la racha de versiones casi diarias que Cloudflare sostiene desde mediados de agosto y que esta sección ha documentado de forma recurrente, incluidos el retiro del backend de entrada/salida en C++ el 22 de setiembre, el aumento del límite de fila en SQLite para Durable Objects el 25 y la corrección de un error de conexiones TCP el 26. A diferencia de esas tres entregas, la de hoy no trae ninguna capacidad ni corrección visible para quien programa sobre Cloudflare Workers -el ajuste de memoria es interno al runtime y los cambios a Bonk son herramienta de desarrollo del propio equipo de Cloudflare-, lo que ilustra que no todas las versiones de este ritmo acelerado cargan cambios relevantes para el usuario final.
> Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Cloudflare Workers reciben esta versión de forma automática; al no incluir cambios de comportamiento visibles para el código de un desarrollador, no hay impacto local que reportar por esta entrega en particular.
La jornada del 27 de setiembre de 2026 en desarrollo fue más de mantenimiento que de anuncios grandes: un rastreo comunitario documentó apenas cuatro paquetes maliciosos nuevos en npm y PyPI, la cifra más baja en un mes tras lotes de 30, 124 y 56 en los cortes anteriores. Esta sección cerró además el repaso de una semana completa de gobernanza en GitHub Copilot -seis cambios entre el 22 y el 26 de setiembre, con la política de activación automática del 22 de octubre como la pieza más consecuente-, mientras GitHub actualizó CodeQL a la versión 2.27.1 con nuevas consultas para C/C++ y soporte de Kotlin 2.4.20, HashiCorp llevó Terraform Policy a disponibilidad general en la beta 1.17.0-beta2 de Terraform, y Cloudflare publicó una nueva versión de workerd sin cambios visibles para quien programa sobre Workers. El hilo que conecta buena parte de la jornada es la maduración incremental de herramientas que ya existían, más que el lanzamiento de algo nuevo: políticas como código que salen del modo experimental, consultas de seguridad que se amplían a más lenguajes, y una política de administración que va camino a apagar el modo por defecto de 'activar todo sin preguntar'. El propio descenso en el conteo de paquetes maliciosos es un recordatorio de que estas cifras diarias fluctúan más de lo que aparentan: compromised-packages-check ya advirtió que su cifra de hoy no equivale a una tregua en la cadena de suministro de código abierto. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué revisar o configurar primero esta semana.