El equipo de Rust publica la versión estable 1.99.0 con funciones variádicas de C y LLVM 23, esta sección encuentra que quince avisos de los paquetes vm2 y piscina aparecen con fecha del 1 de octubre pese a ser de agosto -el mismo patrón hallado ayer con fastify y axios-, un lote de 67 paquetes de npm imita a la librería Baileys para automatizar WhatsApp, un rastreo comunitario de paquetes maliciosos salta a 229 casos y luego cae a 5, Cloudflare publica una nueva versión de workerd y Astral suma cinco versiones de Python a uv.
La nueva versión estable, publicada el 1 de octubre, estabiliza las funciones variádicas de C, sube el motor de compilación a LLVM 23 y acelera rustdoc hasta un 40% en proyectos reales, según el registro oficial de versiones.
El equipo de Rust publicó, el 1 de octubre de 2026, la versión 1.99.0 del lenguaje, según las notas oficiales de la versión en GitHub. La entrega estabiliza la definición de funciones variádicas de C y la posibilidad de declararlas como funciones 'naked' con #[unsafe(naked)], permite usar atributos de macro personalizados para declarar módulos externos con #[mi_macro] mod foo;, suma un lint activado por defecto que detecta referencias que decaen de inmediato en punteros crudos (raw_borrows_via_references), y estabiliza el paso de enteros de 128 bits por registros vectoriales con asm! en procesadores x86. La misma versión sube el compilador LLVM que usa Rust internamente a la versión 23, promueve la plataforma riscv64-unknown-linux-musl a soporte de nivel 2 con herramientas de anfitrión, y agrega en Cargo un perfil incorporado llamado debug pensado para iteración durante el desarrollo, además de permitir que los miembros de un workspace en la edición 2024 o posterior sobrescriban las dependencias por defecto heredadas. Rustdoc, el generador de documentación del proyecto, mejora su rendimiento entre 20% y 40% en promedio gracias a un filtrado más inteligente de implementaciones de trait, según la misma fuente. Rust no numera sus versiones mayores como 2.0 ni plantea romper compatibilidad de golpe -ese trabajo lo hacen las 'ediciones' del lenguaje, la más reciente de las cuales es la de 2024-, así que 1.99.0 es, en la práctica, una entrega más del ciclo de seis semanas que el proyecto sostiene desde su versión 1.0 en 2015. Las funciones variádicas de C y las funciones 'naked' importan sobre todo a quien escribe código de sistemas operativos, controladores o interoperabilidad directa con bibliotecas en C, un uso de Rust que ha crecido dentro del propio kernel de Linux y en proyectos de firmware; la mejora de rendimiento en rustdoc beneficia en cambio a cualquier proyecto con una base de código grande que genere documentación en cada integración continua. La información de este caso proviene únicamente del registro oficial de versiones de Rust en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica tiene empresas de software en zonas francas y startups locales que usan Rust en backend, sistemas embebidos y extensiones de WebAssembly; esos equipos reciben la actualización al correr rustup update, sin que se conozca todavía una cifra pública de adopción de Rust 1.99 específicamente en el país.
La base de datos de avisos de seguridad de GitHub (GitHub Advisory Database) mostró, al ordenar por fecha de publicación más reciente este 1 y 2 de octubre de 2026, quince entradas para el paquete npm vm2 y una para piscina con fecha de actualización del 1 de octubre, varias de severidad crítica -hasta CVSS 9.9 en el caso de CVE-2026-92948, un bypass de la lista de funciones permitidas de NodeVM que permite escapar del sandbox a través de node:test.run()-. Una revisión de cada aviso por separado, hecha por esta sección, muestra que la fecha real de publicación es anterior en todos los casos verificados: CVE-2026-92948, CVE-2026-92940 -que expone credenciales HTTPS del proceso anfitrión a través de https.globalAgent- y CVE-2026-92935 -una omisión del control de anidamiento que permite ejecución remota de código- se publicaron originalmente el 24 de agosto de 2026, según sus propias páginas de GitHub; el aviso de piscina, CVE-2026-102992 -una contaminación de prototipos en ThreadPool.options con CVSS 9.2 que también permite ejecución remota de código-, se publicó el 28 de agosto. Es la segunda vez en dos días que esta sección documenta el patrón: la edición de ayer mostró que una veintena de avisos de fastify y axios aparecía con fecha de actualización del 30 de setiembre sin ser hallazgos nuevos. La revisión de hoy encontró, además, otros cuatro avisos de fastify -entre ellos CVE-2026-84504, sobre una colisión de resultados de validación asíncrona, y CVE-2026-76169, un salto de autenticación por URL malformada- publicados originalmente el 4 de setiembre pero marcados también como actualizados el 30 de setiembre, y sumó a vm2 y piscina a la lista. Que el mismo comportamiento aparezca en paquetes y fechas distintas en dos días seguidos apunta a una actualización masiva de metadatos en la base de GitHub, no a una coincidencia aislada; GitHub no ha explicado, al cierre de esta edición, qué la provocó. Una hipótesis -sin confirmar por la compañía- es una recalificación de puntajes bajo el estándar CVSS 4.0, pero esta sección no encontró una fuente oficial que lo respalde. vm2, además, es un paquete que su propio autor marcó como descontinuado desde 2023 -su página en npm advierte que "la librería contiene problemas de seguridad críticos y no debería usarse en producción" y recomienda migrar a isolated-vm-, de modo que ninguno de los quince avisos de hoy representa una sorpresa para quien sigue el proyecto: las correcciones, cuando existen, llevan en algunos casos más de un mes publicadas. Costa Rica tiene equipos de desarrollo en agencias digitales y bancos que corren escáneres de seguridad automatizados a diario sobre sus dependencias de Node.js; revisar la fecha de publicación original de un aviso -no solo la de actualización- evita que una resincronización de metadatos de GitHub se lea como una alerta de seguridad nueva.
El proyecto de código abierto compromised-packages-check identificó, en su reporte del 29 de setiembre al 1 de octubre de 2026, un lote de 67 paquetes de npm -con identificadores OSV entre MAL-2026-17285 y MAL-2026-17413- que imitan el nombre de @whiskeysockets/baileys, la librería de código abierto más usada para automatizar sesiones de WhatsApp Web desde Node.js, según el registro público del proyecto en GitHub. El lote combina dos patrones: 34 paquetes publicados bajo espacios de nombres con alcance que no pertenecen al proyecto original -como @akapaki/baileys o @badzz88/baileys- y 33 paquetes sin alcance que incluyen la palabra "baileys" en el nombre, como baileys-xbats, arsya-baileys o monte-md-baileys. La mayoría fija rangos de versión con comodín, de forma que instalar cualquier versión dispara el código malicioso, de tipo infostealer, según la misma fuente. Baileys es la base de buena parte de los bots de WhatsApp que ofrecen agencias de automatización y programadores independientes en América Latina para atención al cliente, campañas de marketing y ventas por chat; la táctica de inundar el registro de npm con decenas de variantes del mismo nombre -en vez de comprometer el paquete original- apunta a quien busca el proyecto por nombre aproximado en lugar de copiar la dependencia exacta desde el repositorio oficial. compromised-packages-check no precisó, al cierre de esta edición, cuántas instalaciones acumularon estos paquetes antes de ser retirados ni si npm ya los eliminó por completo del registro. La información de este caso proviene únicamente del registro del proyecto compromised-packages-check en GitHub, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. Costa Rica tiene una industria activa de pequeños negocios y agencias de marketing digital que ofrecen bots de WhatsApp a comercios locales con Baileys como motor; verificar el nombre exacto del paquete antes de instalarlo es la defensa más simple disponible hoy, sin que se conozca algún caso costarricense afectado por este lote al cierre de esta edición.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, documentó en su reporte del 29 de setiembre al 1 de octubre de 2026 un total de 229 entradas nuevas -223 en npm y 6 en PyPI-, más de cinco veces el lote de 42 paquetes que esta sección reportó el 29 de setiembre, según el registro público del proyecto en GitHub (PR 144). El lote de npm incluye el grupo de 67 paquetes que imitan a la librería Baileys para automatizar WhatsApp -cubierto aparte en esta edición-, 34 paquetes de un clúster identificado como @hrmony, 9 typosquats de express y react, y 64 infostealers adicionales, todos con identificadores OSV de este año (MAL-2026). Una porción menor pero notable del lote -49 paquetes, con identificadores MAL-2022-2769 a 2773 y MAL-2025-49189 a 49239- no corresponde a hallazgos de esta semana: es una campaña de confusión de espacio de nombres contra paquetes de Epic Games documentada originalmente en 2022, que el proyecto apenas sumó a su propio seguimiento. En PyPI, los seis paquetes nuevos son beautifytext, bfox-build-utils, cleanup-string, friendly-greeting-tools, friendly-tools y queeuees. La cifra de 229 es la más alta que esta sección ha documentado en el seguimiento de este rastreo, por encima incluso de los 56 registrados entre el 23 y el 24 de setiembre, pero la mezcla de identificadores de 2022, 2025 y 2026 en un mismo corte es un recordatorio de que una cifra alta en un solo reporte no siempre equivale a una oleada nueva de ataques: en este caso, poco más de una quinta parte del lote es indexación retroactiva de una campaña de hace cuatro años. Un segundo corte del mismo proyecto, publicado el 2 de octubre (PR 145), documentó apenas 5 entradas nuevas -3 en npm y 2 en PyPI, entre ellas spo365-graph, que roba credenciales de AWS Lambda, y shortneer, que vacía monederos de criptomonedas de Chrome-, una caída abrupta que refuerza la lectura de que el salto a 229 respondió sobre todo a ese ajuste retroactivo y no a un aumento sostenido de la actividad maliciosa. La información de este caso proviene únicamente del registro del proyecto en GitHub, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. Costa Rica tiene una comunidad amplia de programadores que instalan dependencias de npm y PyPI a diario en agencias digitales y zonas francas; verificar el nombre exacto y la fecha de publicación de cualquier paquete nuevo sigue siendo la defensa más simple, sin que se conozca ningún caso costarricense afectado por estos lotes al cierre de esta edición.
Astral publicó, el 2 de octubre de 2026, la versión 0.12.22 de uv, su gestor de paquetes y proyectos de Python escrito en Rust, según las notas oficiales de la versión en GitHub. La entrega agrega soporte para cinco versiones nuevas de CPython -3.10.22, 3.11.17, 3.12.15, 3.13.16 y 3.14.8-, introduce la variable de entorno UV_PYTHON_ARCH para elegir la arquitectura del intérprete de Python de forma independiente a la del sistema operativo anfitrión, y reduce el tamaño del binario de uv al comprimir los metadatos incrustados de descarga de Python. La misma versión corrige que uv python pin --rm borrara archivos .python-versions globales sin que el usuario pidiera la bandera --global, y evita falsas advertencias de puntos de entrada ausentes en miembros de un workspace que sí los requieren. uv acumula 90.400 estrellas en GitHub y se promociona como reemplazo de pip, pip-tools, pipx, poetry, pyenv, twine y virtualenv en una sola herramienta, de acuerdo con la documentación del propio proyecto; Astral, la empresa que lo mantiene, es la misma detrás de Ruff, el linter de Python más adoptado de los últimos años. La cadencia de versiones menores de uv -la 0.12.21 salió apenas un día antes, el 29 de setiembre, con una actualización de OpenSSL a la versión 3.5.9- es representativa de un proyecto que publica cambios casi a diario, a diferencia del ritmo más pausado de pip o poetry. La información de este caso proviene únicamente de las notas de versión oficiales de uv en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica tiene una comunidad creciente de programadores Python en ciencia de datos, automatización y backend dentro de zonas francas y startups locales; quienes ya migraron su flujo de trabajo a uv reciben esta actualización al correr uv self update, sin que se conozca todavía una cifra de adopción local de la herramienta.
— La versión 0.12.22 del gestor de paquetes de Python escrito en Rust, publicada el 2 de octubre por Astral, agrega cinco versiones nuevas de CPython y una variable para fijar la arquitectura del intérprete por separado del sistema operativo.
cat /feed/cloudflareworkersworkerd.md
La versión v1.20261002.1, publicada a la 01:13 UTC del 2 de octubre, restaura los límites de excepciones de C++ en los decoradores de consola y suma manejo de sobrecarga por lotes para la API de Workflows, según el registro oficial de versiones.
> Cloudflare publicó, a la 01:13 UTC de este 2 de octubre de 2026, la versión v1.20261002.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. El cambio central restaura los límites de excepciones de C++ en los decoradores de consola, un mecanismo que evita que un error no capturado en una extensión de depuración tumbe todo el proceso del Worker, y agrega manejo de sobrecarga por lotes para la API de Workflows, la herramienta de Cloudflare para orquestar tareas de larga duración. La misma entrega adelanta trabajo de preparación para cambios futuros en TLS, corrige el reporte de eventos de consulta para sentencias preparadas de bases de datos, y retira las compilaciones nocturnas de V8 del proceso de construcción del proyecto. Cloudflare había publicado un día antes, a la 01:23 UTC del 1 de octubre, la versión v1.20261001.1, que según el propio registro de cambios solo actualizó dependencias internas sin cambios de comportamiento.
> Es la entrega más reciente de la racha de versiones casi diarias que Cloudflare sostiene desde mediados de agosto y que esta sección ha documentado día a día -workerd sumó criptografía poscuántica a WebCrypto el 29 de setiembre y un decorador de reintentos automáticos para Durable Objects el 30 de setiembre-; a diferencia de esas dos entregas, los cambios de hoy son correcciones internas de estabilidad y preparación, sin una capacidad nueva visible para quien programa sobre Workers.
> Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Cloudflare Workers reciben estos cambios de forma automática; al ser correcciones internas sin cambio de comportamiento por defecto, no hay impacto local que reportar por esta entrega en particular.
La jornada del 2 de octubre de 2026 en desarrollo combinó un lanzamiento de lenguaje con otro capítulo de la confusión de fechas en la base de avisos de seguridad de GitHub: el equipo de Rust publicó la versión 1.99.0 con funciones variádicas de C, LLVM 23 y mejoras de rendimiento en rustdoc de hasta 40%, mientras esta sección encontró que quince avisos del paquete descontinuado vm2 y uno de piscina -varios de severidad crítica- aparecían con fecha de actualización del 1 de octubre pese a haberse publicado originalmente entre el 24 y el 28 de agosto, el mismo patrón que ya se había documentado ayer con fastify y axios. Un rastreo comunitario de paquetes maliciosos en npm y PyPI sumó 229 entradas nuevas entre el 29 de setiembre y el 1 de octubre -incluido un lote de 67 paquetes que imitan a la librería Baileys para automatizar WhatsApp-, aunque 49 de esas entradas resultaron ser una campaña de 2022 recién indexada; el corte siguiente, del 2 de octubre, cayó a apenas 5. Cloudflare, por su parte, publicó la versión v1.20261002.1 de workerd con correcciones internas de estabilidad, y Astral sumó cinco versiones nuevas de Python a uv 0.12.22. El hilo que conecta buena parte de la jornada es, otra vez, la brecha entre lo que una base de datos de seguridad muestra a primera vista y lo que dice cada aviso por separado: tanto en vm2 y piscina como en el rastreo de paquetes maliciosos, una fracción significativa de lo que parecía nuevo hoy resultó ser semanas o años más viejo. Ninguna de las dos fuentes -GitHub ni compromised-packages-check- explicó, al cierre de esta edición, qué motivó sus respectivas resincronizaciones. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué parchar, actualizar o revisar primero esta semana.