La tercera candidata de Python 3.15 llega con importaciones perezosas y un perfilador de alta frecuencia, esta sección halla que seis avisos de trigger.dev aparecen con fecha fantasma del 2 de octubre por tercera jornada seguida mientras un aviso crítico genuino golpea a @a2ui/web_core, compromised-packages-check suma 33 paquetes maliciosos nuevos en npm y PyPI, y Cloudflare, pnpm, Docker Compose y Terraform publican nuevas versiones.
La base de datos de avisos de seguridad de GitHub (GitHub Advisory Database) mostró, al ordenar por fecha de publicación más reciente este 2 y 3 de octubre de 2026, seis entradas del paquete npm trigger.dev marcadas como actualizadas el 2 de octubre, varias de severidad alta o crítica. Una revisión de cada aviso por separado, hecha por esta sección, encuentra que la fecha real de publicación es anterior en los tres casos verificados: GHSA-gg6r-gp4c-89hp -una falla de autenticación en el coordinador de ejecución, con CVSS 9.2, que expone secretos de producción en instalaciones autoalojadas con configuración por defecto- se publicó originalmente el 20 de julio de 2026; GHSA-pqxw-g93w-hj9x -secretos criptográficos fijos en la configuración de ejemplo de Docker Compose, CVSS 8.1- el 21 de julio; y un tercer aviso sobre registro de variables de entorno en texto plano al depurar despliegues, CVSS 5.5, el 31 de julio. No todos los avisos de hoy son fantasmas: la misma base registró, con fecha de publicación genuina del 2 de octubre, un aviso crítico para @a2ui/web_core (CVE-2026-10032, GHSA-72qq-p3r5-f7wq, sin puntaje CVSS público en la página revisada) que permite ejecutar URIs javascript: a través de acciones de botón provistas por un agente en la función openUrl, y uno de severidad alta para figlet (CVE-2026-96780) por un bucle sin límite al usar whitespaceBreak con un ancho pequeño. Es la tercera vez en tres días que esta sección documenta el mismo patrón: la edición del 1 de octubre lo halló en fastify y axios, y la del 2 de octubre en vm2 y piscina. Que la base de GitHub resincronice metadatos de publicación en paquetes y fechas distintas tres jornadas seguidas descarta la coincidencia aislada, aunque GitHub no ha explicado -por tercer día- qué la provoca. La propia descripción del aviso más grave de trigger.dev advierte que un atacante con acceso de red a una instancia autoalojada con configuración por defecto puede explotar estas fallas para extraer secretos de producción y corromper registros de ejecución, según el texto publicado por GitHub; la versión 4.5.4 retiró por completo el motor de ejecución vulnerable. La información de los tres casos de trigger.dev proviene del propio aviso de GitHub, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. Costa Rica tiene equipos de ingeniería en bancos y agencias digitales que corren escáneres automatizados de dependencias cada mañana; distinguir la fecha de publicación original de la de actualización sigue siendo, por tercer día, la única defensa disponible contra una alerta que no es nueva.
El proyecto de código abierto compromised-packages-check documentó, en su reporte del 2 al 3 de octubre de 2026 (PR 146), un total de 33 entradas nuevas de paquetes maliciosos -31 en npm y 2 en PyPI-, según el registro público del proyecto en GitHub. El lote de npm incluye un clúster de diez paquetes -entre ellos ai-workshop-maa15-radio, figma-to-apl y okra-cloud-cdk- que simula herramientas de Amazon APL mediante confusión de dependencias, fijando una versión inflada 100.0.0 y un script de posinstalación que roba credenciales; y una red de quince variantes adicionales -con nombres como @erlanzz/baileys y danz-bails- que sigue imitando a @whiskeysockets/baileys, la librería de automatización de WhatsApp que esta sección cubrió ayer con un primer lote de 67 paquetes. En PyPI, dedh-devops-automation -con ocho versiones publicadas- despliega funciones falsas de AWS Lambda para robar credenciales, y voxeval -con cuatro versiones- se presenta como software de evaluación y entrega malware. La cifra de 33 confirma la caída que ya mostraba el corte anterior -229 entradas entre el 29 de setiembre y el 1 de octubre, luego apenas 5 el 2 de octubre, documentado en la edición de ayer- y sostiene el ritmo más bajo de los últimos días, aunque la familia Baileys vuelve a aparecer por segunda jornada seguida, lo que sugiere que ese ataque particular sigue activo en vez de agotado. compromised-packages-check no precisó, al cierre de esta edición, cuántas instalaciones acumularon los paquetes de Amazon APL ni si npm ya retiró la red completa de variantes de Baileys. La información de este caso proviene únicamente del registro del proyecto compromised-packages-check en GitHub, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. Costa Rica tiene equipos de DevOps en zonas francas que despliegan funciones Lambda a diario y agencias de marketing que ofrecen bots de WhatsApp con Baileys a comercios locales; ambos grupos son, en teoría, el público exacto al que apuntan los dos clústeres de hoy, sin que se conozca algún caso costarricense afectado al cierre de esta edición.
Cloudflare publicó, a la 01:10 UTC de este 3 de octubre de 2026, la versión v1.20261003.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. La entrega agrega el método ctx.cache.invalidate(), que permite a un Worker borrar una entrada de la caché de Cloudflare de forma explícita desde código, mejora el envoltorio JSG para manejar valores que no pueden convertirse a un tipo esperado sin que el proceso falle, y amplía la cobertura de pruebas unitarias para las rutas de reintento de JSRPC, el mecanismo de llamadas remotas entre Workers. El método de invalidación de caché es la primera capacidad nueva y visible para quien programa sobre Workers desde que esta sección empezó a seguir la racha casi diaria de Cloudflare a finales de setiembre; las dos entregas anteriores, del 1 y 2 de octubre, solo trajeron actualizaciones de dependencias y correcciones internas de estabilidad. Hasta ahora, invalidar una entrada de caché de forma programática requería esperar su expiración o depender de reglas configuradas en el panel de Cloudflare, no de una llamada directa dentro del propio Worker. La información de este caso proviene únicamente del registro oficial de versiones de workerd en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Workers reciben ctx.cache.invalidate() de forma automática en su próximo despliegue, sin que se conozca todavía un caso de uso local documentado.
cat /feed/herramientasdevpnpm.md
La versión 12.9.0, publicada el 2 de octubre, corrige que pnpm login reenviara credenciales a otro origen durante una redirección, y suma soporte automático de WebAssembly dentro de los WebContainers de StackBlitz.
> El equipo de pnpm publicó, el 2 de octubre de 2026 a las 22:28 UTC, la versión 12.9.0 del gestor de paquetes de JavaScript, según las notas oficiales de la versión en GitHub. El cambio de seguridad central corrige que el comando pnpm login reenviara el cuerpo de su solicitud -con las credenciales del usuario- a un origen distinto durante una redirección HTTP, un comportamiento que un registro malicioso o comprometido podía explotar para capturar contraseñas o tokens. La misma versión hace que pnpm use WebAssembly de forma automática dentro de los WebContainers de StackBlitz incluso cuando los scripts de instalación están deshabilitados, agrega la opción networkConcurrency por registro en pnpm-workspace.yaml o en la configuración global, y registra cada proyecto instalado como symlink dentro del directorio projects del store.
> La corrección de pnpm login es la que más importa a cualquiera que publique paquetes desde su terminal o desde integración continua, porque el fallo dependía de la configuración del registro de destino, no de un error del usuario; nadie necesitaba hacer nada mal para quedar expuesto ante una redirección maliciosa. El soporte de WebAssembly en StackBlitz, en cambio, beneficia sobre todo a quien enseña o hace demostraciones de proyectos Node.js en el navegador sin instalar nada localmente.
> La información de este caso proviene únicamente de las notas de versión oficiales de pnpm en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica tiene una comunidad amplia de programadores en zonas francas y startups que usan pnpm para manejar monorepos de JavaScript; quienes publican paquetes propios desde su cuenta de npm reciben la corrección de seguridad al actualizar con pnpm add -g pnpm@latest, sin que se conozca una cifra de adopción local de la herramienta.
El equipo de Docker publicó, el 2 de octubre de 2026, la versión 5.6.0 de Docker Compose, según las notas oficiales de la versión en GitHub. La entrega agrega soporte parcial para jobs -tareas de un solo disparo, distintas de los servicios de larga duración que Compose maneja habitualmente-, aunque por ahora solo funcionan los jobs activados de forma manual; los jobs programados todavía dependen de una actualización pendiente en Docker Engine, según la misma fuente. La versión también mejora el modo watch para que varios cambios de archivo seguidos en una ráfaga disparen una sola reconstrucción en lugar de varias consecutivas, conserva el orden de los puertos cuando se publican en modo dual-stack (IPv4 e IPv6), y hace opcional el parámetro de puerto privado en docker compose port. El soporte de jobs es la pieza que más cambia el modelo mental de Compose, pensado hasta ahora solo para servicios que corren de forma continua; con jobs, una tarea puntual -una migración de base de datos, un script de limpieza- puede describirse en el mismo archivo compose.yaml sin simular un servicio que termina y se reinicia. La consolidación de reconstrucciones en el modo watch, mientras tanto, resuelve una molestia común al guardar varios archivos de golpe desde un editor o con un formateador automático. La información de este caso proviene únicamente de las notas de versión oficiales de Docker Compose en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica tiene una base amplia de desarrolladores que usan Docker Compose a diario para levantar entornos locales en agencias digitales y zonas francas; el soporte de jobs les permite describir tareas puntuales de forma nativa, sin que se conozca todavía un caso de uso documentado en el país.
— La versión 5.6.0, publicada el 2 de octubre, agrega soporte parcial para jobs -por ahora solo los activados de forma manual- y consolida varias reconstrucciones seguidas en una sola cuando hay ráfagas de cambios de archivo en el modo watch.
La tercera versión candidata de Python 3.15, publicada el 2 de octubre, estabiliza las importaciones perezosas con la palabra clave blanda lazy, agrega los tipos frozendict y Sentinel, y fija UTF-8 como codificación de texto por defecto en cualquier sistema.
El equipo de Python publicó, el 2 de octubre de 2026, la tercera versión candidata de Python 3.15 (3.15.0rc3), según el registro oficial de versiones en GitHub y el documento 'Qué hay de nuevo en Python 3.15' del propio proyecto. La entrega estabiliza las importaciones perezosas explícitas mediante la palabra clave blanda lazy, que permite declarar un import cuyo módulo solo se carga la primera vez que se usa -pensada para reducir el tiempo de arranque de aplicaciones grandes-, suma un tipo frozendict incorporado -un diccionario inmutable, hasheable y que conserva el orden de inserción-, y un tipo Sentinel para crear valores únicos con una representación compacta y soporte de pickle. La misma versión cambia la codificación de texto por defecto a UTF-8 en todas las plataformas, sin depender de la configuración regional del sistema operativo, y agrega Tachyon, un perfilador de muestreo estadístico de alta frecuencia capaz de tomar hasta 1.000.000 de muestras por segundo con varios formatos de salida pensados para depurar en producción. Las importaciones perezosas y el perfilador Tachyon apuntan al mismo problema -el costo de arranque y de observar código en producción sin degradarlo- que empuja a buena parte del ecosistema de Python hacia aplicaciones de servidor y líneas de comandos más livianas; frozendict y Sentinel, en cambio, son utilidades de uso diario que hoy cada proyecto reimplementa con su propia librería externa. La versión 3.15.0rc3 no es la entrega final: la documentación revisada por esta sección no detalla la fecha exacta de la versión estable 3.15.0, aunque el proyecto suele publicar sus versiones finales a inicios de octubre en años recientes. La información de este caso proviene del registro oficial de versiones de Python en GitHub y de su documentación de novedades, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica tiene una comunidad activa de programadores Python en ciencia de datos, educación y automatización dentro de zonas francas y universidades; esa comunidad prueba hoy la tercera candidata antes del lanzamiento estable, sin que se conozca una cifra de adopción temprana en el país.
HashiCorp publicó, el 2 de octubre de 2026, la versión 1.16.5 de Terraform, según las notas oficiales de la versión en GitHub. La entrega corrige dos fallas puntuales: una caída que se producía al encontrar una instancia marcada como 'tainted' (contaminada, pendiente de recrearse) sin un estado válido asociado, y un error en el manejo de identidad de recursos (resource identity) que podía dejarla nula durante un borrado, según el registro de cambios del proyecto. Las notas de esta versión no listan ninguna otra corrección ni capacidad nueva. Ambas fallas pertenecen a mecanismos internos de Terraform -el estado de las instancias y la identidad de recursos- que la mayoría de quienes escriben archivos .tf nunca manipulan directamente, pero cuya falla interrumpe un plan o un apply completo sin un mensaje de error que apunte a la causa real. HashiCorp mantiene en paralelo una rama beta, la 1.17.0, que ya lleva dos versiones candidatas con soporte de variables y locals en los bloques de requisitos de proveedores. La información de este caso proviene únicamente de las notas de versión oficiales de Terraform en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica tiene equipos de DevOps en bancos y empresas de zona franca que administran infraestructura en la nube con Terraform; la actualización llega sin cambios de comportamiento visibles para quien ya tiene sus módulos escritos, por lo que no hay impacto local adicional que reportar por esta versión puntual.
La jornada del 3 de octubre de 2026 en desarrollo combinó un adelanto de lenguaje con el tercer capítulo seguido de la confusión de fechas en la base de avisos de GitHub: Python publicó la tercera candidata de su versión 3.15, con importaciones perezosas, los tipos frozendict y Sentinel, UTF-8 como codificación por defecto y el perfilador Tachyon, mientras esta sección encontró que seis avisos del paquete trigger.dev aparecían marcados como del 2 de octubre pese a haberse publicado originalmente en julio -el mismo patrón ya documentado con fastify y axios el 1 de octubre, y con vm2 y piscina el 2-. No todo fue fecha fantasma: un aviso crítico genuino golpeó a @a2ui/web_core por ejecución de URIs javascript: a través de acciones de botón de un agente. En cadena de suministro, compromised-packages-check sumó 33 entradas nuevas entre npm y PyPI, con una segunda oleada de variantes de la librería Baileys y un clúster que imita herramientas de Amazon APL. En herramientas, Cloudflare agregó invalidación de caché a workerd, pnpm cerró una fuga de credenciales en su comando de login, Docker Compose habilitó jobs de un solo disparo y Terraform corrigió una caída por estado contaminado. El hilo que conecta buena parte de la jornada vuelve a ser la brecha entre lo que muestra a primera vista una base de datos de seguridad y lo que dice cada aviso por separado: por tercer día, una fracción de lo que parecía nuevo resultó tener semanas o meses de antigüedad. GitHub no ha explicado, al cierre de esta edición, qué provoca la resincronización. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué actualizar, revisar o parchar primero esta semana.