Vercel corrige en Next.js 16.3.8 y 15.5.27 una falla de SSRF de CVSS 8.3 en el optimizador de imágenes junto con varios casos de envenenamiento de caché, GitHub extiende a todas sus cuentas existentes de Copilot Business y Enterprise el cobro por adelantado que hasta hoy solo regía para altas nuevas, pnpm absorbe en sus versiones 11.28.3 y 12.8.2 el parche de undici contra una denegación de servicio por WebSocket, Cloudflare suma a workerd un decorador de reintentos automáticos para Durable Objects, Vite 8.3.2 corrige el precargado de hojas de estilo y los mapas de código, y una revisión propia encuentra que una veintena de avisos de seguridad de fastify y axios aparecen con fecha de hoy en la base de GitHub sin ser hallazgos nuevos.
Vercel publicó, el 30 de setiembre de 2026, las versiones 16.3.8 y 15.5.27 de Next.js con seis correcciones de seguridad, según los avisos oficiales en GitHub Security Advisories. La más severa, CVE-2026-94483 con un puntaje CVSS de 8.3, permite a un atacante con acceso a una URL remota ya autorizada en la lista images.remotePatterns abusar del optimizador de imágenes integrado de Next.js para ejecutar solicitudes de servidor a servidor (SSRF), incluidos intentos de alcanzar direcciones IP privadas, según el aviso GHSA-cjq9-62q9-8jv4. La misma entrega corrige dos fallas de envenenamiento de caché -CVE-2026-94484 y CVE-2026-94543, ambas con CVSS 6.3- que permiten a un atacante no autenticado sustituir el contenido que ve cada visitante en páginas generadas de forma estática o con regeneración incremental (ISR) en despliegues autoalojados con el Pages Router, y una fuga de información en las rutas de metadatos del App Router (CVE-2026-94485) que exponía imágenes de Open Graph de segmentos dinámicos no previstos en generateStaticParams(). Vercel aclaró en el aviso de la falla de caché CVE-2026-94543 que las aplicaciones alojadas en su propia plataforma no son vulnerables a ese caso puntual. La entrega llega poco más de una semana después de que Vercel corrigiera, el 22 de setiembre, una vulnerabilidad separada y más severa -ejecución remota de código en el componente next/og ImageResponse, con CVSS 9.5- en la versión 16.3.6, según el aviso GHSA-vcvr-r3jv-pc5j. Ninguna de las dos fallas depende de la otra, pero juntas dibujan un mes de setiembre cargado para el equipo de seguridad de Next.js, el framework de React más usado para renderizado del lado del servidor. La información de este caso proviene de los avisos oficiales de Vercel en GitHub Security Advisories y del registro de versiones del propio proyecto, sin cobertura cruzada de un medio especializado al cierre de esta edición. Next.js es el framework de React más usado por agencias digitales, bancos y startups costarricenses para sitios de comercio electrónico y aplicaciones corporativas; los equipos que mantienen despliegues autoalojados -fuera de Vercel- con el Pages Router deberían actualizar a 16.3.8 o 15.5.27 y revisar su configuración de images.remotePatterns, sin que se conozca todavía algún caso costarricense afectado al cierre de esta edición.
GitHub amplió, a partir del 1 de octubre de 2026, el requisito de pago por adelantado a todas las cuentas existentes de Copilot Business y Copilot Enterprise que pagan con tarjeta de crédito o PayPal, según el registro oficial de cambios de la compañía. La regla exige cobrar cada asiento en el mismo momento en que un administrador lo asigna -en lugar de facturarlo al cierre de un ciclo mensual compartido- y ya regía desde el 1 de setiembre, pero solo para las organizaciones que se dieron de alta después de que GitHub reabriera las inscripciones a Business y Enterprise ese mismo día. Con el cambio de hoy, la facturación de cada asiento queda atada a su propia fecha de asignación individual en lugar de a un ciclo único por cuenta; GitHub mantiene el prorrateo desde la fecha de asignación hasta el cierre del ciclo y no introduce reembolsos por revocación de asiento a mitad de mes. El ajuste cierra una abertura que distintos equipos de TI usaban para probar Copilot sin costo: un administrador podía asignar un asiento, dejar que alguien lo probara un par de semanas y retirarlo antes de que cerrara el ciclo de facturación, sin que llegara a generarse ningún cobro en ciertas configuraciones. Es además la última pieza de una serie de cambios de gobernanza en Copilot que esta sección ha documentado día a día desde fines de setiembre: la política de activación automática de funciones sin configurar entra en vigor el 22 de octubre, y GitHub ya había cambiado el 28 de setiembre la retención de las conversaciones de Copilot Chat de 28 días a la duración completa de la cuenta, además del nivel de esfuerzo por defecto de su revisión automática de código, de 'Lite' a 'Balanceado'. Equipos de desarrollo en bancos, aseguradoras y empresas de zona franca costarricenses que administran licencias de Copilot Business o Enterprise de forma centralizada verán el cambio reflejado en su próxima factura si pagan con tarjeta o PayPal; las organizaciones que facturan por convenio corporativo podrían tener un cronograma distinto, según el propio aviso de GitHub, sin que se conozca todavía qué impacto concreto tendrá sobre las organizaciones ticas que usan la herramienta.
El equipo de pnpm publicó, el 30 de setiembre de 2026, las versiones 11.28.3 y 12.8.2 del gestor de paquetes para JavaScript, según las notas oficiales de la versión en GitHub. El cambio principal actualiza la dependencia interna undici a la versión 7.29.1, con lo que, según el propio registro de cambios, 'pnpm ya no aparece señalado en los escaneos de seguridad' por el aviso GHSA-3wwx-pv8p-q78v. Ese aviso, publicado el 4 de setiembre, describe cómo el cliente WebSocket de undici hacía caer todo el proceso de Node.js cuando un servidor remoto enviaba un mensaje comprimido con permessage-deflate que superaba el límite de tamaño de carga y además contenía un bloque DEFLATE malformado -un error de manejo del flujo interno de descompresión zlib que dejaba sin protección los errores fatales-, identificado como CVE-2026-85024 con un puntaje CVSS de 5.9. La misma entrega de pnpm corrige además un error de 'database disk image is malformed' que aparecía cuando varios procesos de pnpm compartían el mismo almacén de paquetes, soluciona una falla de arranque en Linux ppc64le y permite usar nombres de paquete o de comando iguales a propiedades reservadas de JavaScript como constructor. undici es el cliente HTTP y WebSocket que usa Node.js internamente y que arrastra consigo buena parte del ecosistema de JavaScript -incluido pnpm, que lo usa para sus propias descargas de paquetes-, así que una falla de denegación de servicio en esa dependencia se propaga a cualquier herramienta que la empaquete sin actualizarla. El aviso llevaba casi cuatro semanas publicado antes de que pnpm absorbiera la versión corregida, un desfase habitual en proyectos de código abierto que dependen de que cada mantenedor aguas abajo haga su propia actualización, y no una falla exclusiva de pnpm. Costa Rica tiene una base amplia de programadores que publican e instalan paquetes con pnpm en agencias digitales, startups y equipos de plataforma de banca y zona franca; quienes ya corren pnpm 11 o 12 reciben el parche de undici al actualizar o reinstalar, sin que se conozca todavía adopción documentada de esta versión específica en el país.
— Las versiones 11.28.3 y 12.8.2, publicadas el 30 de setiembre, integran la versión parchada de undici que corrige CVE-2026-85024, una falla que podía tumbar todo el proceso de Node.js desde un mensaje WebSocket malformado.
La base de datos de avisos de GitHub muestra una veintena de vulnerabilidades de fastify y axios fechadas el 30 de setiembre, pero el parche y el aviso original son de semanas antes.
Una búsqueda en la base de datos de avisos de seguridad de GitHub (GitHub Advisory Database), filtrada por el ecosistema npm y ordenada por fecha de publicación más reciente, devuelve este 30 de setiembre de 2026 una veintena de entradas para los paquetes fastify y axios con esa misma fecha, entre ellas cinco fallas de fastify y once de axios, varias de severidad alta. Una revisión de cada aviso por separado muestra, sin embargo, que la fecha de publicación real es distinta: el aviso GHSA-4mh8-r7rc-xpvc de fastify, por ejemplo, señala el 16 de setiembre como fecha de publicación y el 30 de setiembre solo como fecha de 'última actualización'; el aviso GHSA-m8m8-qj5v-23w3 de axios muestra el mismo patrón, publicado el 16 de setiembre y actualizado el 30. Las versiones que de hecho corrigen esas fallas -fastify 5.12.5 y axios 1.20.0, entre otras- salieron entre el 19 de agosto y el 17 de setiembre, varias semanas antes de esta fecha. El patrón importa porque una base de datos de vulnerabilidades ordenada por 'fecha de publicación' que en realidad devuelve fechas de actualización puede hacer parecer que ocurrió una oleada nueva de hallazgos de seguridad en un ecosistema que ya viene golpeado por meses de paquetes maliciosos, cuando en realidad GitHub solo revisó o resincronizó metadatos de avisos que los propios mantenedores de fastify y axios ya habían corregido semanas antes. GitHub no publicó, al cierre de esta edición, una nota explicando qué motivó la actualización masiva de esa fecha -podría tratarse de una recalificación de puntajes CVSS, una corrección de metadatos o un proceso de revisión rutinario-, y esta sección no pudo confirmar la causa con una fuente distinta de los propios avisos. Quien programa con fastify o axios y ya aplicó las versiones de agosto o setiembre no tiene, según la evidencia disponible, nada nuevo que parchar hoy. Costa Rica tiene una comunidad amplia de programadores que usan fastify y axios como dependencias centrales en agencias digitales, fintechs y startups; el aviso práctico para esos equipos es revisar la versión que tienen instalada -fastify 5.12.5 o superior, axios 1.20.0 o superior- en lugar de reaccionar a una alerta de escáner de seguridad que marque estas fallas como nuevas por su fecha de actualización, sin que se conozca ningún caso costarricense afectado por una explotación real de estas fallas al cierre de esta edición.
cat /feed/cloudflareworkersworkerd.md
La versión v1.20260930.1, publicada a la 01:16 UTC del 30 de setiembre, añade el decorador @retryable para Durable Objects y actualiza V8 a la versión 15.5.35.7, según el registro oficial de versiones del proyecto.
> Cloudflare publicó, a la 01:16 UTC de este 30 de setiembre de 2026, la versión v1.20260930.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. El cambio central suma el decorador @retryable para Durable Objects -identificado internamente como STOR-5615-, que permite marcar un método para que se reintente de forma automática ante ciertos errores transitorios en lugar de que cada aplicación implemente su propia lógica de reintento. La misma versión actualiza el motor V8 a la 15.5.35.7, agrega tipos para lectura del repositorio de Artifacts, centraliza la construcción del contexto de trazas (TraceContext) y ajusta la fecha de compatibilidad de la bandera durable_object_io_tasks_prevent_eviction, que evita que Cloudflare elimine un Durable Object mientras todavía tiene tareas de entrada/salida activas. Cloudflare publicó además, a la 01:23 UTC del 1 de octubre, la versión v1.20261001.1, que según el propio registro de cambios solo actualiza dependencias internas sin cambios de comportamiento.
> Es la entrega más reciente de la racha de versiones casi diarias que Cloudflare sostiene desde mediados de agosto y que esta sección ha documentado día a día; a diferencia del soporte de criptografía poscuántica que trajo la versión del 29 de setiembre, el decorador @retryable es una conveniencia de desarrollo más que una capacidad de seguridad, pensada para que quien programa sobre Durable Objects escriba menos código repetido de manejo de errores.
> Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Cloudflare Workers y Durable Objects reciben estos cambios de forma automática; al ser una conveniencia de programación y no un cambio de comportamiento por defecto, no hay impacto local que reportar por esta entrega en particular.
El equipo de Vite publicó, el 1 de octubre de 2026, la versión 8.3.2 del empaquetador de JavaScript, según las notas oficiales de la versión en GitHub. La entrega corrige el precargado de hojas de estilo cuando la función renderBuiltUrl devuelve URLs con parámetros de consulta, arregla la entrega de mapas de código ('sourcemaps') de los fragmentos cargados de forma diferida ('lazy chunks'), y soluciona que el servidor de archivos estático integrado dejara de responder ante ciertos errores del observador de archivos en lugar de seguir funcionando. En rendimiento, la versión evita una revisión cuadrática en el asistente de precarga de módulos y deja de codificar mapas de código intermedios cuando no son necesarios, lo que acelera los tiempos de build en proyectos grandes. La información de este caso proviene únicamente de las notas de versión oficiales de Vite en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Vite es el empaquetador de JavaScript detrás de frameworks como SvelteKit y Astro y de buena parte del ecosistema moderno de Vue y React, y sus parches de rendimiento se propagan de forma directa a cualquier proyecto que lo use como motor de desarrollo o de build. El cambio en el asistente de precarga -una revisión que antes crecía de forma cuadrática según el número de módulos- es el tipo de corrección que se nota más en monorepos grandes que en proyectos pequeños, donde el costo adicional pasaba inadvertido. Costa Rica tiene agencias digitales y equipos de producto que construyen aplicaciones con Vite como herramienta de desarrollo y empaquetado; la actualización llega de forma automática a quien fija su dependencia a una versión menor sin candado exacto, sin que se conozca todavía adopción documentada de esta versión específica en el país.
La jornada del 1 de octubre de 2026 en desarrollo giró alrededor de parches de seguridad más que de anuncios grandes: Vercel corrigió en Next.js 16.3.8 y 15.5.27 una falla de SSRF de CVSS 8.3 en el optimizador de imágenes junto con varios casos de envenenamiento de caché, GitHub extendió a todas sus cuentas existentes de Copilot Business y Enterprise el cobro por adelantado que hasta ahora solo regía para altas nuevas, pnpm absorbió en sus versiones 11.28.3 y 12.8.2 el parche de undici contra una denegación de servicio por WebSocket, Cloudflare sumó a workerd un decorador de reintentos automáticos para Durable Objects y Vite 8.3.2 corrigió el precargado de hojas de estilo y los mapas de código de los fragmentos diferidos. Esta sección encontró además que una veintena de avisos de seguridad de fastify y axios aparecen con fecha de publicación del 30 de setiembre en la base de datos de GitHub sin ser hallazgos nuevos -el parche real de cada uno salió entre agosto y setiembre-, un recordatorio de que no toda fecha reciente en un aviso de seguridad equivale a una vulnerabilidad recién descubierta. El rastreo comunitario de paquetes maliciosos en npm y PyPI que esta sección sigue día a día no publicó un nuevo corte desde el lote de 42 paquetes del 28 al 29 de setiembre, el más alto del mes; no hay, al cierre de esta edición, una cifra nueva que reportar para la ventana siguiente. El hilo de gobernanza de GitHub Copilot, en cambio, sigue activo: a la exigencia de pago por adelantado de hoy se suma la política de activación automática de funciones sin configurar que entra en vigor el 22 de octubre, la fecha que define buena parte de lo que resta del mes para los administradores de la herramienta. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué parchar o revisar primero esta semana.