watchTowr Labs publica el análisis técnico completo de las dos fallas de Citrix NetScaler, con crítica directa a la lentitud del fabricante para reconocerlas, mientras un rastreo comunitario documenta 42 paquetes maliciosos nuevos en npm y PyPI -más de cuatro veces el corte anterior-, Cloudflare presenta cf, una CLI agéntica para toda su API que reemplazará a Wrangler, workerd suma soporte de criptografía poscuántica y GitHub relanza la experiencia unificada de Copilot con nuevas políticas de revisión y retención de datos.
El script ns_monuploadd_err.pl, que procesa registros de error de NetScaler, interpolaba texto de log sin sanear en un comando de shell ejecutado como root, según el análisis técnico que watchTowr Labs publicó el 28 de setiembre.
watchTowr Labs publicó, el 28 de setiembre de 2026 en su blog de investigación, el análisis técnico completo de CVE-2026-88771, la falla de inyección de comandos sin autenticación en Citrix NetScaler ADC y Gateway que esta sección reportó el día anterior. Según la firma, el problema vive en ns_monuploadd_err.pl, un script en Perl que procesa la información de errores y fallos del dispositivo: el script arma un nombre de archivo a partir de texto de registro sin sanear y lo interpola en un comando de shell mediante comillas invertidas (`find`), de modo que un atacante puede enviar un campo de inicio de sesión o de User-Agent manipulado -con un punto y coma y una carga de comillas invertidas- que queda guardado en el log y se ejecuta como root hasta 24 horas después, cuando el script procesa ese registro, o de inmediato si el atacante fuerza el procesamiento. Citrix corrigió el problema reemplazando los comandos de shell por un análisis de texto en Perl con validación estricta por expresiones regulares y llamadas de ejecución en formato de lista que evitan invocar una terminal, según la misma fuente. El análisis de watchTowr llegó acompañado de una crítica directa a Citrix: "el mundo entero al parecer sabía de estos CVE de NetScaler antes de que Citrix despertara o se molestara en reconocerlos", escribió la firma en su publicación, en referencia a que los administradores ya recibían advertencias de proveedores y equipos de seguridad para apagar sus dispositivos desde el 26 de setiembre -tras una notificación privada previa del Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL)-, un día antes de que Citrix confirmara el problema en público. CISA, que había sumado ambas fallas a su catálogo de vulnerabilidades explotadas conocidas el 27 de setiembre, fijó el 30 de setiembre como plazo para que las agencias federales estadounidenses aplicaran el parche, bajo la directiva operativa vinculante BOD 26-04, según recogió BleepingComputer. NetScaler es un producto común en la puerta de enlace VPN de bancos, aseguradoras y entidades de gobierno con operaciones regionales en Costa Rica; los equipos de infraestructura que administran NetScaler ADC o Gateway en el país deberían confirmar que ya aplicaron el parche de las versiones 14.1-73.37 o 13.1-64.23, sin que se conozca todavía algún caso costarricense afectado al cierre de esta edición.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, registró en su reporte del 28 al 29 de setiembre de 2026 un total de 44 entradas afectadas: 40 paquetes nuevos en npm, dos actualizaciones de paquetes ya catalogados (swiper_angular y open-item-validator) y dos paquetes nuevos en PyPI, según el registro público del proyecto en GitHub. Del lado de npm, el lote incluye cinco sondas de confusión de espacio de nombres contra los prefijos @wbnr, @consts y @digi-kernel, doce paquetes de una campaña general de typosquatting por comodín, y 23 paquetes que imitan por nombre a librerías populares como fabric.js, nebula.js, chalk y Hardhat. En PyPI, azure-langchain-example y aseitylab -esta última una continuación de la campaña de droppers 'aseity' que esta sección reportó ayer, que esconde código nativo dentro de archivos de imagen- completan el lote, identificado con los identificadores OSV MAL-2026-3327, 3329, 3330, 11065, 16052 y el rango 17202-17240. La cifra de hoy más que cuadruplica las nueve entradas del corte anterior, del 27 al 28 de setiembre, y es la más alta que esta sección ha documentado desde los 56 registrados entre el 23 y el 24 de setiembre. compromised-packages-check señaló además un cambio de método: por restricciones de política de egreso de datos, el rastreo de hoy usó la instantánea de exportación masiva de Google Cloud Storage de OSV en lugar de su API por paquete, sin que el proyecto reporte diferencias de cobertura por ese cambio. Como en cortes anteriores, buena parte del lote -las sondas de espacio de nombres y los typosquats por comodín- corresponde a intentos automatizados sin confirmación de que hayan comprometido un proyecto real, una distinción que el propio proyecto pide no perder de vista. Costa Rica tiene una comunidad amplia de programadores JavaScript y Python en agencias digitales y zonas francas que instalan dependencias de npm y PyPI a diario; verificar el nombre exacto, el mantenedor y la fecha de publicación de cualquier paquete nuevo antes de instalarlo sigue siendo la defensa más simple, sin que se conozca ningún caso costarricense afectado por este lote al cierre de esta edición.
cat /feed/cloudflareworkersworkerd.md
La versión v1.20260929.1, publicada la madrugada de hoy, añade soporte de los algoritmos ML-KEM y ML-DSA a la API WebCrypto de Cloudflare Workers, según el registro oficial de versiones del proyecto.
> Cloudflare publicó, a la 01:14 UTC de este 29 de setiembre de 2026, la versión v1.20260929.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. El cambio central suma soporte de ML-KEM (encapsulado de llaves) y ML-DSA (firma digital) a la API WebCrypto expuesta a todo script que corre sobre Workers: ambos son los algoritmos que el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) estandarizó como resistentes a un eventual ataque de computación cuántica, lo que le da a cualquier aplicación sobre Workers una vía nativa para cifrar o firmar datos con ese estándar sin depender de una librería externa. La misma versión aplaza la cancelación de tareas de alarma en memoria a un mecanismo diferido ('defer in-memory alarm task cancellation'), agrega contabilidad de memoria para las llamadas JSRPC, retira varios 'autogates' -banderas internas que ya completaron su despliegue gradual- y refactoriza los métodos de consola para tomar capturas de estado ('snapshotting').
> Es la sexta entrega consecutiva de la racha de versiones casi diarias que Cloudflare sostiene desde mediados de agosto y que esta sección ha documentado día a día, pero a diferencia de la limpieza de deuda técnica en la caché de memoria que trajo la versión de ayer, sumar WebCrypto poscuántico es una capacidad nueva y visible para quien programa sobre Workers: cualquier aplicación que necesite cumplir con un estándar de cifrado resistente a computación cuántica -un requisito que empieza a aparecer en contratos de banca y gobierno- puede usarla sin agregar dependencias.
> Costa Rica no aloja una región de Cloudflare, pero bancos y fintechs ticas que despliegan aplicaciones sobre Cloudflare Workers reciben esta versión de forma automática; equipos que ya evalúan requisitos de criptografía poscuántica en sus contratos podrían adoptar ML-KEM y ML-DSA de forma nativa sin depender de una librería externa, sin que se conozca todavía adopción documentada en el país.
Cloudflare presentó, el 28 de setiembre de 2026 en su blog oficial, cf: una herramienta de línea de comandos generada a partir del esquema OpenAPI completo de la compañía, capaz de ejecutar cualquiera de las más de 3.000 operaciones de su API -contra las aproximadamente 280 funciones que cubre Wrangler, la CLI histórica de Cloudflare Workers-. La herramienta produce salida en JSON por defecto, pensada para que un agente de software la consuma directamente, incorpora un comando de búsqueda en lenguaje natural (cf cli search) para encontrar la operación exacta sin memorizar la sintaxis, y sustituye la configuración en TOML o JSONC de Wrangler por un archivo cloudflare.config.ts en TypeScript. Cloudflare también abrió el código de Forge, el generador de SDK interno que usa para producir cf a partir de su esquema de API, según el mismo anuncio. La justificación que dio Cloudflare para el cambio es un dato de uso: en marzo de 2026, los agentes de software eran responsables de una cuarta parte del uso de Wrangler; para la semana previa al lanzamiento de cf, esa proporción había subido al 48%, según cifras de la propia empresa. Cuando termine la beta abierta, Cloudflare planea publicar una última versión mayor de Wrangler que redirija a los usuarios hacia cf, y mantendrá Wrangler disponible por 18 meses adicionales antes de retirarlo, según recoge un análisis técnico independiente de la herramienta publicado en blog.bokvi.com. Es un cambio de fondo en cómo Cloudflare diseña sus herramientas de línea de comandos: de una CLI curada con comandos específicos por producto a una que expone la API entera y delega en quien la usa -humano o agente- decidir qué operación necesita. Costa Rica tiene agencias digitales y startups que despliegan aplicaciones sobre Cloudflare Workers y administran DNS, Zero Trust o WAF desde Wrangler u otras CLI de Cloudflare; esos equipos tienen 18 meses de ventana antes de que Wrangler se retire, sin que se conozca todavía adopción documentada de cf en el país.
Cloudflare publicó, el 28 de setiembre de 2026 en su blog oficial, la versión 1.0.0 de Vinext, un complemento de Vite que reimplementa la superficie de la API de Next.js para desplegar en cualquier plataforma, según el anuncio y el registro de versiones del proyecto en GitHub. Vinext nació en febrero de 2026 como un experimento de una semana para ver hasta dónde podía llegar un solo ingeniero, con una pila de créditos de modelos de lenguaje, replicando el framework de Next.js sobre Vite; siete meses después, la versión 1.0 admite tanto el App Router como el Pages Router de Next.js -incluidos componentes de servidor de React, acciones de servidor, rutas de API y middleware-, comparte una misma entrada de HTML, RSC y 'loading shell' cacheada entre distintos backends de almacenamiento como KV y Workers Cache, y corre la suite de pruebas de extremo a extremo del propio Next.js todas las noches contra Vinext para detectar regresiones de compatibilidad. Que una herramienta nacida como demostración de lo que un ingeniero podía construir con asistencia de un modelo de lenguaje termine convertida en un framework de producción que, según Cloudflare, ya corren clientes con aplicaciones dinámicas de tráfico alto, es la pieza más inusual del anuncio: la propia empresa describe el recorrido como pasar de 'experimento de IA' a herramienta de confianza en siete meses. Vinext permite además desplegar la misma aplicación de Next.js en Cloudflare Workers, Netlify, AWS Lambda o Node.js sin reescribir el código de la aplicación, lo que le da a un equipo una salida para dejar de depender de Vercel como única plataforma de despliegue. Costa Rica tiene agencias digitales y equipos de producto que construyen aplicaciones en Next.js para clientes locales y regionales; Vinext 1.0 les da una ruta para desplegar esas mismas aplicaciones fuera de Vercel sin reescribirlas, sin que se conozca todavía adopción documentada en el país.
GitHub relanzó, el 28 de setiembre de 2026, Copilot Chat en github.com, Copilot Chat en GitHub Mobile y el agente en la nube de Copilot como una sola experiencia unificada, según su registro oficial de cambios y una cobertura previa de C# Corner. El cambio más consecuente es que las conversaciones de Copilot en github.com migran por completo a la experiencia de sesiones de agente que hasta ahora usaba solo el agente en la nube, además de traer una nueva política de retención de datos de chat. GitHub cambió en la misma fecha el nivel de esfuerzo por defecto de la revisión automática de código de Copilot, de 'Lite' a 'Balanceado', según Developers Digest, lo que hace que cada revisión consuma más cómputo y tarde más a cambio de un análisis más profundo, sin que el administrador tenga que activarlo a mano. Ese mismo día, GitHub resolvió un incidente de servicio que había dejado a Copilot Code Review sin poder completar revisiones, según reportó Technobezz. El relanzamiento cierra un mes de anuncios encadenados sobre gobernanza y facturación de Copilot que esta sección ha venido documentando: la política de activación automática de funciones sin configurar entra en vigor el 22 de octubre, y desde el 1 de octubre toda asignación nueva de licencia Business o Enterprise pagada por tarjeta de crédito o PayPal exige el pago por asiento antes de dar acceso, según el propio registro de cambios de GitHub. El cambio del esfuerzo de revisión por defecto es el tipo de ajuste que un equipo puede no notar hasta que ve subir su consumo de cómputo o el tiempo de espera de una revisión automática, otro caso de una configuración que pasa de opcional a activa por decisión de GitHub y no de cada organización. Equipos de desarrollo en bancos, aseguradoras y empresas de zona franca costarricenses que administran Copilot Enterprise o Business de forma centralizada deberían revisar si el cambio a revisión 'Balanceada' afecta su presupuesto de cómputo antes del 22 de octubre, sin que se conozca todavía qué decisión tomarán las organizaciones ticas que usan la herramienta.
— Desde el 28 de setiembre, Copilot Chat en github.com, en GitHub Mobile y el agente en la nube de Copilot pasan a compartir una única experiencia, con la revisión de código en modo 'Balanceado' como ajuste por defecto.
La jornada del 29 de setiembre de 2026 en desarrollo giró alrededor de una vulnerabilidad ya conocida vista con más detalle y de un puñado de lanzamientos de herramientas: watchTowr Labs publicó el análisis técnico exacto detrás de los días cero de Citrix NetScaler -un script Perl que ejecutaba comandos de shell sin sanear como root- junto con una crítica directa a la lentitud de Citrix para reconocer el problema, mientras CISA fijó el 30 de setiembre como plazo para que las agencias federales estadounidenses lo corrigieran. Un rastreo comunitario documentó 42 paquetes maliciosos nuevos en npm y PyPI, más de cuatro veces el lote del día anterior, y Cloudflare tuvo una jornada cargada: sumó soporte de criptografía poscuántica a WebCrypto en workerd, presentó cf -una CLI agéntica que reemplazará a Wrangler en año y medio- y graduó Vinext a la versión 1.0 siete meses después de nacer como un experimento de una semana. GitHub, por su parte, fusionó tres experiencias distintas de Copilot en una sola sesión de agente y cambió el esfuerzo de revisión de código por defecto de 'Lite' a 'Balanceado'. El hilo que conecta buena parte de la jornada es la brecha entre lo que una empresa reconoce en público y lo que investigadores y comunidades ya sabían: watchTowr documentó que administradores de NetScaler recibían advertencias para apagar sus equipos un día antes de que Citrix confirmara el problema, y compromised-packages-check recordó, una vez más, que buena parte de su conteo diario corresponde a sondas automatizadas sin compromiso confirmado, una distinción que conviene no perder de vista antes de sacar conclusiones de un solo corte. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué parchar, actualizar o evaluar primero esta semana.