Citrix repara dos vulnerabilidades críticas de NetScaler ya explotadas y CISA fija un plazo de emergencia para WSO2 y Adobe Commerce, un rastreo comunitario documenta nueve paquetes maliciosos nuevos en npm y PyPI, pnpm suma una advertencia contra fugas accidentales de archivos .env, y Cloudflare completa en workerd la fusión de su caché en memoria que venía preparando desde el día anterior.
Las fallas CVE-2026-88771 y CVE-2026-88772, con un puntaje CVSS de 9.5, permitían ejecutar código sin autenticación y ya estaban bajo explotación activa cuando Citrix publicó el parche el 27 de setiembre.
Citrix confirmó, en el boletín CTX697096 publicado el 27 de setiembre de 2026, dos vulnerabilidades de día cero en NetScaler ADC y NetScaler Gateway que atacantes ya explotaban activamente antes del parche, según recogió The Hacker News. CVE-2026-88771 es una validación de entrada deficiente que permite a un atacante sin autenticar ejecutar comandos arbitrarios en el dispositivo y afecta a todo despliegue de una versión vulnerable, incluida la configuración por defecto; CVE-2026-88772 es un desbordamiento de memoria que puede derivar en ejecución remota de código o denegación de servicio cuando DTLS está habilitado, una condición activa por defecto en los servidores virtuales VPN de la mayoría de despliegues de NetScaler Gateway. Ambas fallas recibieron un puntaje de 9.5 sobre 10 en la escala CVSS 4.0, según Citrix, que recomienda actualizar a las versiones 14.1-73.37 o 13.1-64.23 o superiores, con builds específicos para despliegues FIPS y NDcPP. El parche llegó un día después de que la firma de investigación watchTowr advirtiera que dos fallas de ejecución remota de código en NetScaler estaban siendo explotadas sin que existiera todavía una corrección oficial, lo que llevó a varios administradores a desconectar sus equipos por precaución antes de que Citrix confirmara el problema, según reportó The Hacker News. La secuencia -investigadores independientes documentando explotación activa antes de que el fabricante reconociera las fallas públicamente- repite un patrón que la comunidad de seguridad ha señalado en otros productos de borde de red: la ventana entre la primera señal de explotación y el parche oficial deja a las organizaciones sin una vía clara de mitigación mientras dura. CISA sumó ambas fallas a su catálogo de vulnerabilidades explotadas conocidas (KEV) ese mismo 27 de setiembre. NetScaler es un producto común en la puerta de enlace VPN de bancos, aseguradoras y entidades de gobierno que necesitan acceso remoto seguro, un perfil de despliegue presente también en organizaciones costarricenses con operaciones regionales; los equipos de infraestructura que administran NetScaler ADC o Gateway en el país deberían confirmar la versión instalada y aplicar el parche de inmediato, sin que se conozca todavía algún caso costarricense afectado al cierre de esta edición.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, registró en su reporte del 27 al 28 de setiembre de 2026 un total de nueve entradas nuevas -una en npm y ocho en PyPI-, según el registro público del proyecto en GitHub. En npm, @bb1ptest23/test-paket v1.0.3 ejecutó comandos sospechosos durante la instalación (MAL-2026-17201). En PyPI, metrio y metrics-sdk, cada uno en las versiones 999.0.0, 1000.0.0 y 1001.0.0, funcionan como sondas de confusión de dependencias que exfiltran información del equipo tanto al instalarse como al importarse (MAL-2026-17193 y MAL-2026-17194); claudedashbord, en sus versiones 0.1.0 a 0.1.3, usa un archivo .pth para ejecutar un módulo de telemetría cada vez que arranca Python (MAL-2026-17195), y donutpromotion, coinscan, caracas4check, scrapetools2 y aseity suman droppers que esconden código nativo dentro de archivos de imagen o que descargan cargas útiles desde puertas de enlace de IPFS, según el mismo registro. La cifra de hoy más que duplica las cuatro entradas del corte anterior, del 26 al 27 de setiembre, pero sigue muy por debajo de los lotes de 30, 124 y 56 registrados entre el 23 y el 26 de setiembre. compromised-packages-check advierte, como ha hecho en reportes anteriores, que sus cifras diarias dependen de la ventana exacta de cada rastreo automatizado y de cuántas campañas activas coinciden con ese período, y que buena parte de sus entradas -como las sondas metrio y metrics-sdk de hoy- corresponde a intentos de confusión de dependencias sin confirmación de que hayan comprometido un proyecto real, una distinción que el propio proyecto pide no perder de vista antes de asumir el peor escenario. El proyecto es una iniciativa independiente que consume el feed público de OpenSSF, no un canal oficial de npm ni de PyPI. Costa Rica tiene una comunidad amplia de programadores JavaScript y Python en agencias digitales y zonas francas que instalan dependencias de npm y PyPI a diario; verificar el nombre exacto, el mantenedor y la fecha de publicación de cualquier paquete nuevo antes de instalarlo sigue siendo la defensa más simple, sin que se conozca ningún caso costarricense afectado por este lote al cierre de esta edición.
La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) sumó, el 24 de setiembre de 2026, dos vulnerabilidades activamente explotadas a su catálogo de vulnerabilidades explotadas conocidas (KEV) y fijó el 27 de setiembre como plazo para que las agencias federales aplicaran la corrección, según el aviso oficial de la agencia. CVE-2026-5430 es una falla de path traversal en WSO2 API Control Plane, API Manager, Traffic Manager y Universal Gateway que permite la carga de archivos sin restricción y puede derivar en ejecución remota de código; la propia WSO2 documentó además un bypass de autenticación JWT causado por la aceptación de un algoritmo de firma no soportado. CVE-2026-71362 es una falla de autorización incorrecta en Adobe Commerce y Magento que permite a un atacante obtener acceso elevado a recursos sensibles sin necesidad de interacción del usuario. La firma watchTowr reportó haber detectado intentos de explotación contra CVE-2026-5430 en sus honeypots desde al menos el 13 de setiembre, y la firma Sansec ya había bloqueado intentos de explotación contra la falla de Adobe Commerce en agosto, según recoge The Hacker News. WSO2 no es un proveedor de nicho: su tecnología corre en cerca de mil clientes de banca, gobierno, telecomunicaciones y logística según cifras de la propia empresa, mientras que Adobe Commerce y Magento sostienen buena parte del comercio electrónico corporativo fuera de las plataformas como servicio. El plazo del 27 de setiembre aplica en estricto rigor solo a las agencias federales estadounidenses, pero la inclusión en el catálogo KEV funciona en la práctica como una señal de urgencia para cualquier organización que use estos productos. No se conocen empresas costarricenses que operen WSO2 como plataforma de gestión de API, pero Adobe Commerce y Magento sí tienen presencia entre tiendas en línea medianas y grandes que operan desde el país; los equipos que administran esas plataformas deberían confirmar si ya aplicaron el parche de Adobe, sin que se conozca algún caso costarricense afectado al cierre de esta edición.
El equipo de pnpm publicó, el 28 de setiembre de 2026, las versiones 12.8.0 y 11.28.1 del gestor de paquetes para JavaScript, según las notas oficiales de la versión en GitHub. La novedad central es una advertencia que se activa cuando pnpm pack o pnpm publish empaquetarían un archivo .env o .env.* que no aparece listado explícitamente en el campo files del package.json -los archivos de plantilla como .env.example quedan excluidos de la alerta-, en respuesta a un reporte de la comunidad documentado en el issue #7826 del repositorio. La misma versión permite instalar en paralelo los workspaces configurados con sharedWorkspaceLockfile: false, corrige un congelamiento de la terminal en Windows tras interrumpir un script con Ctrl+C, y extiende la sintaxis --config.= a cualquier ajuste de pnpm, no solo a los que ya tenían una bandera dedicada. Un archivo .env suele guardar credenciales, llaves de API o cadenas de conexión a bases de datos, y publicarlo sin querer dentro de un paquete de npm es un descuido conocido en la cadena de suministro de código abierto, el mismo tipo de error que reportes de seguridad han documentado repetidas veces como origen de filtraciones. La advertencia de pnpm no bloquea la publicación, solo la señala, así que sigue dependiendo de que quien publica lea el mensaje antes de confirmar; no es, en ese sentido, una barrera técnica sino un aviso adicional en un flujo que ya tenía otras salidas para el mismo error, como .npmignore o .gitignore. Costa Rica tiene una base amplia de programadores que publican paquetes internos y públicos con pnpm en agencias digitales, startups y equipos de plataforma de banca y zona franca; la advertencia llega de forma automática con la actualización, sin que se conozca todavía adopción documentada de esta versión específica en el país.
— La nueva versión del gestor de paquetes alerta cuando pnpm pack o pnpm publish incluirían un archivo .env que no está listado de forma explícita en el package.json.
cat /feed/cloudflareworkersworkerd.md
Entre el 27 y el 28 de setiembre, Cloudflare fusionó las dos implementaciones de su caché en memoria en una sola y retiró la bandera experimental que las separaba, según el registro oficial de versiones.
> Cloudflare publicó, el 27 y el 28 de setiembre de 2026, las versiones v1.20260927.1 y v1.20260928.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. El grueso del cambio, atribuido al ingeniero Dan Lapid -la misma persona detrás de la corrección de memoria en kj-rs que esta sección reportó ayer-, fusionó memory-cache-v2.c++ dentro de memory-cache.c++, simplificó la clase CacheValue a una vista de bytes, plegó MemoryCacheNamespace en MemoryCacheProvider y finalmente retiró por completo la bandera experimental MEMORY_CACHE_V2 en la versión del 28, dejando una sola implementación de la caché en memoria de Workers en lugar de dos coexistiendo detrás de un interruptor. La versión del 27 también sumó otro ajuste a 'Bonk', la herramienta interna de revisión automatizada de código de Cloudflare, para hacer sus revisiones 'precisas', según el título oficial del cambio -el registro de cambios sigue sin explicar en qué consiste esa herramienta ni por qué necesitaba el ajuste.
> Es la cuarta y quinta entrega consecutiva de la racha de versiones casi diarias que Cloudflare sostiene desde mediados de agosto y que esta sección ha documentado día a día, pero a diferencia de las correcciones puntuales de TCP o memoria de días anteriores, fusionar dos implementaciones paralelas de una misma función y retirar la bandera que las separaba es una limpieza de deuda técnica más de fondo: deja de existir una ruta de código 'vieja' y otra 'nueva' que el equipo tenía que mantener y probar por separado. Un commit adicional del 28 de setiembre, 'Defer in-memory alarm task cancellation', ya aparece en la rama principal del proyecto sin haber salido todavía en una versión publicada, según el historial de commits de GitHub.
> Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Cloudflare Workers reciben estos cambios de forma automática; al ser una reorganización interna del runtime y no un cambio de comportamiento para quien programa sobre Workers, no hay impacto local que reportar por estas dos versiones en particular.
La jornada del 28 de setiembre de 2026 en desarrollo giró alrededor de parches urgentes y limpieza técnica: Citrix reparó dos días cero de NetScaler con un puntaje CVSS de 9.5 que ya estaban bajo explotación activa cuando salió el boletín oficial el 27 de setiembre, mientras CISA fijó ese mismo día como plazo para que las agencias federales corrigieran fallas críticas en WSO2 y Adobe Commerce y Magento. Un rastreo comunitario documentó nueve paquetes maliciosos nuevos en npm y PyPI, más del doble que el corte anterior pero lejos de los picos del mes, pnpm sumó en sus versiones 12.8.0 y 11.28.1 una advertencia contra la publicación accidental de archivos .env, y Cloudflare completó en dos versiones seguidas de workerd la fusión de las dos implementaciones de su caché en memoria. El hilo que conecta buena parte de la jornada es la brecha entre cuándo una falla empieza a explotarse y cuándo llega la corrección oficial: watchTowr documentó explotación activa contra NetScaler un día antes del parche de Citrix, y firmas como Sansec ya habían visto ataques contra Adobe Commerce semanas antes de que CISA fijara un plazo. compromised-packages-check recordó, una vez más, que sus cifras diarias fluctúan más de lo que aparentan y que buena parte de los paquetes que documenta son sondas sin compromiso confirmado, una distinción que conviene tener presente antes de sacar conclusiones de un solo corte. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué parchar o revisar primero esta semana.