compromised-packages-check documenta 59 paquetes maliciosos nuevos en npm y PyPI -incluido uno que suplanta al SDK de Anthropic-, esta sección halla que la base de avisos de GitHub no suma una entrada nueva en npm desde el 2 de octubre, Python 3.15 cumple cuatro días de atraso sobre su fecha prevista, Cloudflare actualiza workerd por sexta vez consecutiva y Rust estabiliza funciones variádicas compatibles con C pese a una advertencia de seguridad propia.
El proyecto compromised-packages-check documentó 59 paquetes maliciosos nuevos entre el 4 y el 5 de octubre, incluido uno que suplanta al SDK oficial de Anthropic.
El proyecto de código abierto compromised-packages-check documentó, en su reporte del 4 al 5 de octubre de 2026 (PR 148), un total de 59 entradas nuevas de paquetes maliciosos -58 en npm y 1 en PyPI-, según el registro público del proyecto en GitHub. El lote de npm incluye un clúster de 29 paquetes -publicados casi todos en la versión 1.0.0, salvo tailwindcss-forms-styles en la 0.5.1- que imita utilidades de CSS y accesibilidad con nombres como css-a11y-contrast-utils, css-anchor-pos-fallback, a11y-tabindex-manager y wcag-color-a11y-helpers; el propio registro los atribuye a "un solo actor" bajo los identificadores OSV MAL-2026-17475 a MAL-2026-17530. Un segundo clúster de siete paquetes suplanta el espacio de nombres @angular/ con variantes como @angularr/cli, @angularr/core, @angulra/cli, @angulra/core, @nagular/core y @nagular/router, con números de versión que imitan los lanzamientos reales de Angular. En PyPI, la única entrada del lote es anthropic-sdk 0.1.0, que se hace pasar por el SDK oficial de Python de Anthropic y funciona, según la descripción del propio registro, como un "exfiltrador de credenciales y variables de entorno al momento de instalarse" (OSV MAL-2026-17472). La cifra de hoy multiplica por más de cinco el lote de ayer -once entradas, documentado en la edición anterior de esta sección- y revierte la tendencia a la baja de los últimos días: de 229 casos el 1° de octubre a 33 el 2, a 11 el 3 y a 59 hoy. El propio reporte establece además cinco espacios de nombres (scopes) nuevos para vigilar -@angularr/, @angulra/, @nagular/, @babell/ y @kibt/-, junto con typosquats de Express (express-enhanced, express-fork) y un ataque de confusión de dependencias contra @babell/core. Que uno de los 59 paquetes imite puntualmente al SDK de Anthropic, la empresa detrás de Claude, confirma que el ecosistema de IA generativa ya es un blanco tan atractivo para quien registra paquetes falsos como lo son React, Angular o AWS. La información de este caso proviene únicamente del registro del proyecto compromised-packages-check en GitHub, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. Costa Rica tiene una comunidad amplia de programadores que instalan paquetes de JavaScript y Python a diario en zonas francas y startups, varios de los cuales ya integran la API de Claude en sus propios productos; revisar el nombre exacto de cualquier paquete relacionado con Anthropic, Angular o utilidades de CSS antes de instalarlo sigue siendo la defensa más simple disponible, sin que se conozca algún caso costarricense afectado por este lote.
La base de datos de avisos de seguridad de GitHub (GitHub Advisory Database), revisada por esta sección la mañana de este lunes 5 de octubre de 2026 con dos criterios de orden distintos -por fecha de publicación más reciente y por fecha de actualización más reciente-, devuelve en ambos casos la misma lista de diez entradas del ecosistema npm, todas con fecha de publicación del 2 de octubre: probe-image-size (CVE-2026-104861), dos avisos de @fastify/busboy, el aviso crítico de @a2ui/web_core (CVE-2026-10032) y varios avisos de trigger.dev, entre ellos GHSA-pqxw-g93w-hj9x, ya reportado el viernes por esta sección. Ninguna entrada nueva aparece por encima de esas diez en ninguno de los dos órdenes, lo que significa que la base no ha registrado una sola publicación nueva en el ecosistema npm en al menos tres días corridos. Esta sección documentó, el 1°, 2 y 3 de octubre, un patrón distinto pero relacionado: avisos de fastify, axios, vm2, piscina y trigger.dev que la base mostraba como recién actualizados pese a tener semanas o meses de antigüedad real. Que ahora, dos días después de esa racha, la lista completa quede congelada en el 2 de octubre -sin avisos fantasma nuevos, pero también sin avisos genuinos nuevos- admite dos lecturas que esta sección no puede distinguir con la información disponible: una pausa real de tres días sin hallazgos críticos en npm, algo inusual pero no imposible, o una falla de ingesta en la propia base que GitHub no ha explicado en ninguno de los dos episodios. GitHub no respondió, en sus canales públicos, a ninguna de las dos situaciones al cierre de esta edición. La información de este caso proviene de una revisión directa de esta sección sobre el sitio público de GitHub, sin un comunicado oficial de GitHub que la confirme o la desmienta. Costa Rica tiene equipos de ingeniería en bancos y agencias digitales que corren escáneres automatizados de dependencias contra esta misma base cada mañana; si la pausa es real, esos equipos están, en los hechos, revisando una lista que no cambia desde hace tres días, y si es una falla de ingesta, podrían estar perdiendo avisos que todavía no llegaron a publicarse.
El repositorio python/cpython en GitHub, revisado por esta sección la mañana de este lunes 5 de octubre de 2026, muestra a v3.15.0rc3 -publicada el 2 de octubre- como la etiqueta más reciente del ciclo 3.15, sin que haya aparecido una cuarta candidata ni la versión estable 3.15.0 en los tres días transcurridos desde la edición anterior de esta sección. El calendario oficial del proyecto, documentado en el PEP 790, fijaba el 1° de octubre como fecha de la versión estable; hoy, cuatro días después de esa fecha, el proyecto no ha publicado en sus canales oficiales una explicación pública del atraso ni una nueva fecha objetivo. El equipo de lanzamiento, liderado por Hugo van Kemenade, había señalado en discuss.python.org que la rc2 -publicada el 1° de setiembre- sería la última candidata antes de la versión final; la aparición de una rc3 el 2 de octubre ya rompió ese plan, y el silencio de los tres días siguientes sugiere que el problema que forzó esa tercera candidata todavía no se resuelve del todo. Un atraso de cuatro días no es grave por sí mismo -los ciclos de lanzamiento de software rara vez son exactos-, pero sí rompe la cadencia que el propio PEP 790 prometía, y deja a cualquier equipo que haya planificado una migración para octubre sin una fecha concreta a la que aferrarse. La información de este caso proviene del registro oficial de versiones de Python en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica tiene una comunidad amplia de programadores Python en ciencia de datos, automatización y educación, concentrada en zonas francas y universidades, que ya prueba la rc3 a falta de una versión estable; esa comunidad sigue, como el resto del mundo, a la espera de que el proyecto confirme una fecha.
— Cuatro días después de la fecha prevista por el propio calendario del proyecto, el repositorio oficial de Python sigue sin publicar una nueva candidata ni la versión estable 3.15.0.
Cloudflare publicó, este lunes 5 de octubre de 2026, la versión v1.20261005.1 de workerd, el motor de ejecución de código abierto detrás de Cloudflare Workers, según el registro oficial de versiones del proyecto en GitHub. La entrega actualiza la dependencia de Next.js de la versión 16.3.3 a la 16.3.6 y la de urllib3 de la 2.6.3 a la 2.8.0 dentro del módulo interno de Pyodide, ambas mediante el bot de actualizaciones dependabot (PR 7608 y PR 7610); y agrega, en una contribución del ingeniero de Cloudflare danlapid (PR 7540), tres funciones para escribir interfaces de Workers en Rust -PromisedInterface, into_kj y notSupported-. Es la sexta entrega consecutiva que esta sección documenta en la racha casi diaria de workerd desde finales de setiembre: las tres versiones anteriores agregaron una API de snapshots para Durable Objects, invalidación de caché programática y pruebas de reintento de JSRPC. La de hoy combina, por primera vez en esta racha, una actualización de seguridad de dependencias con una capacidad nueva para quien programa en Rust sobre el runtime de Workers, en lugar de traer solo una cosa u otra. La información de este caso proviene únicamente del registro oficial de versiones de workerd en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Workers reciben las dos actualizaciones de dependencias de forma automática en su próximo despliegue, sin que se conozca todavía un caso de uso local de las nuevas funciones en Rust.
La versión 1.99.0 de Rust, publicada el 1° de octubre, estabiliza las funciones variádicas compatibles con C, aunque el propio seguimiento del cambio admite que esos argumentos quedan sin verificar dentro de código genérico.
El equipo de Rust publicó, el 1° de octubre de 2026, la versión 1.99.0 del lenguaje, según el registro oficial de versiones del proyecto en GitHub. La entrega estabiliza las funciones variádicas compatibles con C -definidas con el operador ... de la RFC 2137-, que permiten a código Rust exponer o llamar funciones con un número variable de argumentos para interoperar con bibliotecas escritas en C; también agrega nuevos lints (avisos del compilador) para préstamos (borrows) de datos crudos y promueve nuevas plataformas ARM a un nivel de soporte superior, según las notas de versión. El propio seguimiento del cambio en el repositorio de Rust en GitHub, abierto desde 2017 bajo el número de issue 44930, documenta varias advertencias que la estabilización no resuelve del todo: la documentación debe aclarar que quien llama y quien define la función deben coincidir en si es variádica y en cuántos argumentos fijos tiene, so pena de comportamiento indefinido; los punteros a función no son seguros para argumentos variádicos (VaArgSafe); y, la más citada dentro de la propia comunidad del lenguaje, "los argumentos variádicos quedan completamente sin verificar si se pasan a través de genéricos", según el texto del propio seguimiento. Que Rust -un lenguaje que basa buena parte de su atractivo en eliminar clases enteras de errores de memoria sin perder rendimiento- estabilice una función con esa salvedad explícita no es, para parte de su comunidad, un gesto menor: cada función variádica que un programa use a través de un genérico queda, en los hechos, con la misma falta de garantías que tendría escrita directamente en C. La información de este caso proviene de las notas de versión oficiales de Rust y del propio seguimiento del cambio en GitHub, ambas fuentes primarias del proyecto, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica tiene equipos de ingeniería que ya usan Rust en bancos y empresas de zona franca para componentes de alto rendimiento o de bajo nivel; quienes interoperen con bibliotecas en C a través de funciones variádicas genéricas deberían revisar esa salvedad antes de confiar en el compilador para detectar el error, sin que se conozca todavía un caso costarricense que dependa de esta función específica.
La jornada del 5 de octubre de 2026 en desarrollo estuvo marcada por un repunte en la cadena de suministro de código abierto: compromised-packages-check documentó 59 paquetes maliciosos nuevos entre npm y PyPI -un clúster de 29 que imita utilidades de CSS y accesibilidad, siete typosquats de Angular y, por primera vez esta semana, un paquete que suplanta al SDK oficial de Anthropic-, revirtiendo la baja de los tres días anteriores. Por separado, esta sección halló que la base de avisos de seguridad de GitHub no registra una sola entrada nueva en el ecosistema npm desde el 2 de octubre, confirmado con dos criterios de orden distintos, sin que GitHub haya explicado si se trata de una pausa real o de una falla de su propia base de datos. En lenguajes, Python 3.15 llega al lunes sin su versión estable, cuatro días después de la fecha que fijaba su propio calendario oficial, y Rust estabilizó funciones variádicas compatibles con C pese a una advertencia propia, documentada desde 2017, sobre argumentos que quedan sin verificar al pasarse por código genérico. En herramientas, Cloudflare combinó, en la sexta entrega consecutiva de su racha casi diaria de workerd, una actualización de seguridad de dependencias con funciones nuevas para programar en Rust sobre su runtime de Workers. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué actualizar, revisar o parchar primero esta semana.