El rastreo de paquetes maliciosos repite 59 casos por tercer día, vm2 suma otra fuga de sandbox y Python 3.15 se retrasa de nuevo, ahora al 9 de octubre.
El rastreador comunitario compromised-packages-check registró, en su barrido del 5 al 6 de octubre, 59 entradas nuevas: 57 de npm -una segunda ola de typosquats de Angular (11), un clúster de polyfills falsos de CSS (18) y el malware "dzyclutch" dirigido a clientes de WhatsApp (8), entre otros- y dos de PyPI, uno de ellos descrito como un exfiltrador de credenciales. La información proviene únicamente de este rastreador comunitario basado en exportes de OSV, sin confirmación cruzada de Socket.dev, Phylum o Sonatype al cierre de esta edición. El día anterior, el mismo rastreador había catalogado otras 59 entradas, incluido un paquete PyPI llamado "anthropic-sdk" que se hacía pasar por el SDK oficial de Anthropic -la misma amenaza que cubrió esta edición ayer- lo que confirma que la campaña de typosquatting contra el nombre de Anthropic sigue activa. Equipos de desarrollo costarricenses que dependen de npm o PyPI para sus pipelines de integración continua enfrentan el mismo riesgo que cualquier equipo global; no existe un repositorio espejo nacional que filtre estos paquetes antes de que lleguen a producción.
La vulnerabilidad explota cómo se representan direcciones IPv4 dentro de IPv6 para evadir listas de confianza basadas en IP en aplicaciones Express.js.
El GitHub Advisory Database publicó el 5 de octubre CVE-2026-90711 (GHSA-jqcg-44mw-7w3h), de severidad crítica, para el paquete npm proxy-addr: la falla permite falsificar la dirección IP de origen aprovechando cómo se representan direcciones IPv4 mapeadas dentro de IPv6, lo que puede evadir listas de confianza o allowlists basadas en IP. Proxy-addr es una dependencia de Express.js, uno de los frameworks de servidor más usados en el ecosistema Node.js. El hallazgo se acreditó a los investigadores kagebunsher, UlisesGascon y kustundag. Cualquier API costarricense construida sobre Express.js que use listas de confianza basadas en IP -una práctica común en bancos y fintechs locales para restringir accesos administrativos- debería revisar si depende de proxy-addr antes de seguir confiando en esas reglas.
CVE-2026-100721 permite que la resolución de módulos personalizada de NodeVM rompa las restricciones de rutas externas y acceda al sistema de archivos desde dentro del sandbox.
El GitHub Advisory Database publicó el 5 de octubre CVE-2026-100721, de severidad crítica, para vm2, la librería de aislamiento ("sandbox") de código JavaScript en Node.js: la resolución de módulos personalizada de su componente NodeVM puede evadir las restricciones de rutas externas, habilitando acceso no autorizado al sistema de archivos desde dentro del entorno aislado. El hallazgo se acreditó al investigador identificado como rexpository. El patrón -un sandbox que se supone aísla código no confiable y termina filtrando acceso al sistema- resuena con el caso de fuga de sandbox en los agentes de Anthropic que cubrió esta edición ayer y con el reportado hoy en Langflow, en la categoría de inteligencia artificial. Empresas costarricenses que ejecutan código de terceros en entornos aislados -por ejemplo, para correr plugins o scripts de usuarios- deberían revisar si dependen de vm2 antes del próximo despliegue.
Además de proxy-addr y vm2, el GitHub Advisory Database publicó el 5 de octubre dos advisories para simple-git -una sobre una variable de entorno de editor omitida en el paquete @simple-git/argv-parser y otra sobre un bypass de la protección contra operaciones inseguras en el paquete simple-git- y una para seroval (CVE-2026-104846), sobre la asimilación insegura de promesas "thenable" en su función fromJSON(), según el mismo repositorio de GitHub. Equipos costarricenses que automatizan flujos de git desde Node.js o serializan JSON con seroval en producción deberían revisar si usan alguno de estos paquetes antes del próximo despliegue.
— simple-git, seroval y una segunda falla en el propio simple-git completan el lote de avisos de seguridad publicados el mismo día que proxy-addr y vm2.
El equipo de lanzamiento de Python publicó el 2 de octubre una tercera versión candidata (rc3) de Python 3.15, con 156 correcciones aportadas por 82 contribuidores desde la rc2, después de que bugs de última hora en las importaciones diferidas obligaran a mover la fecha final del 1 de octubre -la que fijaba el PEP 790- al viernes 9 de octubre. Al cierre de esta edición la versión final todavía no se había publicado, según el blog oficial de Python. El release manager Hugo van Kemenade explicó la decisión: "we got some last-minute lazy-import release blockers, and it makes sense to include them in 3.15.0 final", y agregó que conviene dar tiempo para probarlos bien antes del lanzamiento definitivo. El retraso no afecta de forma inmediata a los equipos costarricenses que ya corren Python 3.13 o 3.14 en producción, pero las empresas que planeaban migrar este mes para aprovechar las mejoras de rendimiento de 3.15 tendrán que esperar hasta el 9 de octubre.
Cloudflare publicó la versión v1.20261006.1 de workerd el 6 de octubre, con mejoras de seguridad en componentes escritos en Rust, un ajuste a la resolución de microtareas y la alineación del iterador asíncrono de TypeScript ReadableStream con la especificación WebIDL; un día antes había publicado v1.20261005.1, con actualizaciones de dependencias y nuevas interfaces para Rust (PromisedInterface, into_kj y notSupported), según el changelog oficial del proyecto en GitHub. Empresas costarricenses que despliegan funciones serverless sobre Cloudflare Workers reciben estas mejoras de forma automática, sin necesidad de ningún cambio de su parte.
La jornada combina dos fugas de aislamiento -vm2 y, en la categoría de IA, Langflow-, una falla crítica de suplantación de IP en proxy-addr, tres advisories adicionales y otro retraso de Python 3.15, ahora fijado para el 9 de octubre. El rastreo de paquetes maliciosos, mientras tanto, repite 59 casos por tercer día consecutivo.