GitHub publica un aviso de severidad alta para el modo clúster de Kong Gateway, OTRS corrige un fallo crítico que permite suplantar agentes sin contraseña, Cloudflare publica una nueva versión de workerd que es apenas un cambio de número, y el rastreo comunitario de paquetes maliciosos halla 22 entradas nuevas en npm.
Una falla de inyección SQL en el modo clúster de Kong Gateway permite a un atacante con certificado válido alcanzar la base de datos del Control Plane, según GitHub.
El GitHub Advisory Database publicó, el 12 de octubre de 2026, el aviso GHSA-gjvg-7rjg-jm9f (CVE-2026-1907, CVSS v4.0 de 7.5) para Kong Gateway, el API gateway de código abierto usado por miles de empresas para administrar tráfico entre microservicios: según la descripción oficial, una falla de inyección SQL (CWE-89) en la lógica de clustering del modo Hybrid permite que una solicitud RPC manipulada, enviada al Control Plane, derive en acceso no autorizado a la base de datos. El propio aviso acota el alcance real del ataque: "Exploitation requires network access to the Control Plane's clustering port and a valid client certificate and key", es decir, no basta con alcanzar la red del clúster -hace falta, además, un certificado de cliente válido, no un acceso anónimo desde internet. El aviso remite al parche publicado el mismo día en la versión 3.13.0.2 del registro oficial de cambios de Kong, aunque la página del GHSA todavía no detalla el rango completo de versiones afectadas ni cuáles corrigen la falla en cada rama. El puntaje de 7.5 -severidad alta, no crítica- es consistente con el propio vector CVSS v4.0 del aviso (AV:A, AT:P, PR:L), que exige un atacante en una red adyacente, con un paso previo cumplido y privilegios ya otorgados por el certificado de cliente, no una explotación anónima y directa desde internet. Kong Gateway es una pieza común de arquitecturas de microservicios en bancos, fintechs y empresas de zona franca costarricenses que necesitan un punto único para autenticación, límites de tráfico y enrutamiento entre servicios; equipos que operen Kong en modo Hybrid, con un Control Plane expuesto más allá de una red interna de confianza, deberían revisar la versión de su clúster antes del próximo despliegue. La información de este caso proviene únicamente del aviso oficial de GitHub, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. No se conoce un caso costarricense afectado por esta falla al cierre de esta edición.
cat /feed/cloudflareworkersworkerd.md
La versión de workerd publicada el 12 de octubre solo actualiza el número de versión, sin una línea de cambio funcional, tras casi tres semanas de entregas diarias con cambios reales.
> Cloudflare publicó, el 12 de octubre de 2026, la versión v1.20261012.1 de workerd, el motor de código abierto que corre Cloudflare Workers, marcada como "Latest" en el registro oficial de versiones del proyecto en GitHub. A diferencia de las trece entregas anteriores que esta sección ha documentado desde finales de setiembre, la página de esta versión no lista ni un solo cambio: el único contenido es un enlace de comparación contra la versión anterior, v1.20261011.1 -la que esta sección ya cubrió ayer, con la limpieza de pruebas pendientes de la migración a WrapGlobal-, y esa comparación muestra un solo commit, titulado "Release 2026-10-12" y firmado por la cuenta automatizada workers-devprod, que modifica apenas dos archivos.
> Que la racha casi diaria de workerd produzca, por primera vez en las catorce entregas que esta sección ha seguido, una versión que es puro cambio de número sin una línea de código funcional detrás, no señala necesariamente una pausa en el desarrollo: proyectos con integración continua agresiva suelen cortar una versión etiquetada incluso en días sin cambios sustantivos, solo para mantener la cadencia de publicación. Es, aun así, un contraste frente al patrón de la semana pasada, cuando cada entrega sumaba una corrección de reentradas en streams, un cambio de objeto global o una nueva interfaz tipada.
> La información de este caso proviene únicamente del registro oficial de versiones de workerd en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Workers reciben esta actualización de forma automática en su próximo despliegue, sin que haya, en este caso, ningún cambio de comportamiento que revisar.
El GitHub Advisory Database publicó, el 12 de octubre de 2026, el aviso GHSA-prj2-j7v3-mhcv (CVE-2026-93582, CVSS v3.1 de 9.4, severidad crítica) para OTRS, el sistema de mesa de ayuda y gestión de tickets de código abierto: según la descripción oficial, los módulos de autenticación HTTP Basic de OTRS aceptan el nombre de usuario directamente de la variable de entorno REMOTE_USER o HTTP_REMOTE_USER, sin verificar contraseña alguna. En despliegues CGI o mod_perl, donde los encabezados de la solicitud pueden exponerse como variables HTTP_*, un atacante sin autenticar puede enviar un encabezado Remote-User falsificado y entrar a la Generic Interface como cualquier agente o cliente existente, según el propio aviso, que afecta a OTRS Community Edition 6 y versiones anteriores -y es "muy probable" que también afecte a productos construidos sobre esa edición, en palabras del aviso-, aclarando que OTRS 7 y posteriores no son vulnerables. El mismo día, GitHub publicó un segundo aviso para OTRS, CVE-2026-78356 (GHSA-8jjm-2gpw-mmqf, CVSS 5.3, moderado), que expone sin autenticación el extremo de configuración del frontend de agentes -rutas, grupos de autorización y ajustes de integraciones-, aunque "no contiene directamente credenciales de usuario ni permite modificar la configuración", según ese mismo aviso. El propio texto de la falla crítica matiza el riesgo real: "Exploitation requires HTTP Basic Authentication as the backend and a web server that exposes attacker-controlled headers as environment variables", una combinación específica de configuración -no el modo de autenticación por defecto de OTRS- que limita el impacto a instalaciones que ya delegaron el inicio de sesión a un servidor web o proxy externo. Ninguno de los dos avisos indica todavía una versión parcheada ni un rango completo de versiones afectadas; la página del GHSA deja ambos campos como "Unknown", remitiendo solo al aviso oficial de OTRS (2026-18) como referencia. La información de este caso proviene únicamente de los dos avisos oficiales de GitHub, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. OTRS es un sistema común de mesa de ayuda en centros de atención al cliente y soporte técnico de empresas de zona franca costarricenses; equipos que deleguen la autenticación de agentes a un servidor web externo deberían confirmar con OTRS si su instalación usa ese backend antes de asumir que el riesgo no los alcanza, sin que se conozca un caso costarricense afectado al cierre de esta edición.
El proyecto de código abierto compromised-packages-check registró, en su barrido del 11 al 12 de octubre de 2026 (PR 155), 22 entradas nuevas de paquetes maliciosos -todas en el registro de npm- y seis actualizaciones de versión en paquetes que el proyecto ya tenía identificados, según el registro público del proyecto en GitHub, que cita como fuente la exportación masiva de OSV del 11 de octubre. El lote incluye cinco paquetes bajo el espacio @coopeuch/ con una versión señuelo 1.999.999, un ataque de confusión de dependencias contra la cooperativa financiera chilena Coopeuch -el mismo nombre corporativo que esta sección documentó el 9 de octubre, entonces bajo el espacio distinto @design-system-coopeuch/web-; tres paquetes bajo @s4yhiitestpoc/, que el propio registro describe como una prueba de concepto de un atacante; dos typosquats versionados de librerías populares de React (react-dropzone-v4 y react-paginate-v5, con una versión señuelo 99.0.0); cuatro paquetes que extienden el clúster de confusión de dependencias contra el espacio kmf hacia nombres nuevos (deposit-limit-fe, ksp-app, ksp-client-registry y pay-methods-kmf); un paquete que imita al entorno de trabajo de Liferay (liferay-workspace-scripts); y siete paquetes misceláneos que el registro solo etiqueta como "malware", sin mayor detalle. Que Coopeuch vuelva a aparecer como blanco de un ataque de confusión de dependencias, esta vez bajo un espacio de nombres distinto al de hace tres días, sugiere que quien construye estos paquetes señuelo no abandona un objetivo corporativo después del primer intento, sino que repite la misma organización con nombres de espacio diferentes hasta que alguno cuele en una instalación automatizada. La cifra total de hoy -22 entradas, ninguna en PyPI ni en crates.io esta vez- marca, además, el primer barrido de la semana concentrado por completo en npm. La información de este caso proviene únicamente del registro del proyecto compromised-packages-check en GitHub, sin confirmación cruzada de Socket.dev, Phylum o Sonatype al cierre de esta edición. Costa Rica tiene una comunidad amplia de programadores que instalan paquetes de npm a diario en zonas francas y startups; un nombre de espacio corporativo como @coopeuch, aunque apunte a una cooperativa chilena y no costarricense, expone el mismo tipo de ataque que podría dirigirse a cualquier organización local con su propio espacio de npm, sin que se conozca un caso costarricense afectado por este lote.
— El proyecto compromised-packages-check documentó, el 11 de octubre, un ataque de confusión de dependencias contra el espacio de nombres de la cooperativa chilena Coopeuch y varios clústeres más pequeños.
La jornada combina dos fallas de autenticación y control de acceso en software que miles de equipos autoadministran, con un día inusualmente tranquilo en la racha de workerd que esta sección sigue desde finales de setiembre. Kong Gateway corrigió una inyección SQL en la lógica de clustering de su modo Hybrid -severidad alta, aunque limitada a atacantes con certificado de cliente válido y acceso a la red del Control Plane-, mientras que OTRS corrigió un fallo crítico que permite suplantar a cualquier agente con solo falsificar un encabezado HTTP, además de un segundo aviso moderado que expone sin autenticación la configuración de su frontend. Cloudflare publicó una nueva versión de workerd que, por primera vez en catorce entregas, no trae ni una línea de cambio funcional: solo un commit automatizado que actualiza el número de versión. El rastreo comunitario de paquetes maliciosos halló 22 entradas nuevas en npm, encabezadas por un segundo intento de confusión de dependencias contra la cooperativa chilena Coopeuch, ya blanco de un ataque similar hace tres días. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué actualizar o revisar primero esta semana.