Bloom Security destapa una falla de confianza en Trusted Publishing que expuso más de 1.500 paquetes de npm con 10 millones de descargas, Next.js anuncia un parche urgente fuera de calendario para tres fallas en dependencias externas, Cloudflare suma cambios reales a workerd tras una versión en blanco y el rastreo comunitario de paquetes maliciosos duplica su cifra diaria.
Bloom Security encontró que npm vinculaba la confianza de publicación al nombre reciclable de un repositorio, no a su identidad permanente, y expuso más de 1.500 paquetes con más de 10 millones de descargas totales.
El investigador Golan Myers, de Bloom Security, reportó a través del programa de recompensas de npm en HackerOne, el 6 de junio de 2026, una falla en Trusted Publishing, el mecanismo que permite publicar un paquete de npm automáticamente desde un flujo de GitHub Actions o GitLab CI sin usar un token de larga duración. Según el reporte de Bloom Security, citado por Help Net Security y CSO, npm vinculaba esa confianza de publicación al nombre del repositorio -un dato que se puede reciclar cuando alguien lo renombra, lo transfiere o lo borra antes de su primera publicación- en lugar de a su identificador permanente; un atacante que reclamara ese nombre libre podía heredar la credencial de publicación del paquete original. Bloom contabilizó más de 1.500 paquetes expuestos de esa forma, con más de 10 millones de descargas totales entre todos ellos, según las cifras que reprodujo CSO. npm corrigió la falla el 2 de octubre de 2026 -casi cuatro meses después del reporte inicial- con una expiración de 48 horas para cualquier configuración de Trusted Publishing sin validar, de acuerdo con el detalle que recoge CSO. Bloom Security encontró la misma debilidad en la integración de Trusted Publishing de npm con GitLab, no solo con GitHub, y advirtió, en el reporte que cita Security Boulevard, que los agentes de codificación con inteligencia artificial -que instalan paquetes de forma automática y sin revisión humana en cada paso- amplifican el impacto potencial de este tipo de falla en la cadena de suministro de software. Bloom Security aclara, según el mismo reporte, que no ha visto explotación activa de esta falla en el mundo real: su demostración se limitó a publicar, en un entorno de prueba controlado, una nueva versión de un paquete ya existente. Costa Rica tiene una comunidad amplia de desarrolladores que publican y mantienen sus propios paquetes de npm desde zonas francas y startups; cualquier organización local con un espacio de nombres propio en el registro enfrenta el mismo riesgo de identidad reciclable que corrigió esta falla, sin que se conozca un caso costarricense afectado al cierre de esta edición.
El equipo de Next.js confirmó que el 14 de octubre publicará, fuera de su calendario habitual, un parche para dos vulnerabilidades críticas y una alta en dependencias externas al framework.
Next.js anunció, en su blog oficial el 13 de octubre de 2026, que publicará el miércoles 14 de octubre una actualización de seguridad fuera de calendario: "it will address three vulnerabilities in upstream dependencies: two Critical and one High", según el comunicado. El equipo del framework no detalla todavía cuáles son esas dependencias externas, qué versiones de Next.js quedan afectadas ni qué acción exacta deberán tomar los equipos; promete publicar los avisos completos, con el impacto y las instrucciones de actualización, junto con la propia entrega del 14 de octubre. El mismo comunicado aclara que "two of these fixes were postponed from the September release due to upstream coordination", es decir, que dos de las tres fallas ya se conocían desde setiembre pero su corrección dependía de que los proyectos de esas dependencias externas publicaran su propio parche primero. La última actualización ordinaria, del 30 de setiembre, dejó como versiones recomendadas la 16.3.8 en la rama 16.3 y la 15.5.27 en la rama 15.5; el soporte de seguridad de Next.js 15 como rama de largo plazo, además, termina el 21 de octubre de 2026, según el calendario de fin de vida del propio proyecto. La información de este caso proviene únicamente del blog oficial de Next.js, sin que los avisos completos -con las versiones exactas afectadas- estén disponibles al cierre de esta edición. Next.js es el framework de referencia para buena parte de las agencias digitales y startups costarricenses que construyen sitios y aplicaciones sobre Vercel; esos equipos deberían reservar tiempo el 14 de octubre para revisar y aplicar el parche en cuanto se publique, sin que se conozca todavía qué versiones en producción local quedan expuestas.
Cloudflare publicó, el 13 de octubre de 2026, la versión v1.20261013.1 de workerd, el motor de código abierto que corre Cloudflare Workers, marcada como "Latest" en el registro oficial de versiones del proyecto en GitHub. La entrega agrupa las consultas del sistema de streaming de respuestas bajo un identificador único de nivel superior (PR #7618, de frostzt), agrega una bandera de compatibilidad wasm_esm_integration_builtins para integrar módulos WebAssembly compilados en tiempo de ejecución (PR #7685, de guybedford), corrige las pruebas del servidor cuando el transpilador está desactivado y mejora el almacenamiento en caché de las compilaciones para reducir la necesidad de acciones de enlace simbólico -ambos cambios de fhanau-, según el changelog oficial del proyecto. Es la decimosexta entrega que esta sección documenta en la racha casi diaria de workerd desde finales de setiembre, y llega apenas un día después de la versión del 12 de octubre, que esta sección ya señaló como la primera sin ningún cambio funcional listado en catorce entregas. El identificador único de consulta en el sistema de streaming continúa, además, el mismo patrón de trazabilidad interna que esta sección viene registrando en entregas anteriores del motor. La información de este caso proviene únicamente del registro oficial de versiones de workerd en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Workers reciben esta actualización de forma automática en su próximo despliegue, sin que se conozca un caso de uso local vinculado a estos cambios específicos.
— La versión del 13 de octubre de workerd agrupa las consultas del motor de streaming bajo un identificador único y suma una bandera de compatibilidad para Wasm compilado en tiempo de ejecución.
El proyecto de código abierto compromised-packages-check registró, en su barrido fechado el 12 de octubre de 2026 (PR 156, commit 46bbf29, fusionado el 13 de octubre), 44 entradas nuevas de paquetes maliciosos -41 en npm y 3 en PyPI-, según el registro público del proyecto en GitHub, que cita como fuente la exportación masiva de OSV. El lote más grande es un clúster de 37 paquetes que imitan a Baileys, la librería de código abierto para automatizar WhatsApp, repartido en al menos trece espacios de nombres nuevos -@revizahoshii (11 paquetes), @fazzcodestudio (3), @saazkira (2), @wanzlonely (2) y otros- además de paquetes sin espacio de nombres como amprem, bailslonely y node-telegram-sockets; todos usan comodines de versión que aceptan cualquier release. En PyPI, el registro identifica py2ops 2.2 como malware de instalación, minecraftaccfinder (versiones 0.1.0 a 3.0.0) como un robador de credenciales de cuentas de Minecraft, y npp-ml (0.1.7 a 0.1.9) como un impostor de una herramienta de machine learning. La cifra de hoy -44- duplica la de ayer (22) y multiplica por más de siete la de hace dos días (6), la progresión más pronunciada que esta sección ha registrado en la serie diaria. El registro también documenta un octavo paquete bajo el espacio @dransay/ (@dransay/api, con una versión señuelo 99.0.1) como ataque de confusión de dependencias, el mismo patrón de persistencia contra un espacio de nombres específico que esta sección ya señaló el 12 de octubre con la cooperativa chilena Coopeuch. La información de este caso proviene únicamente del registro del proyecto compromised-packages-check en GitHub, sin confirmación cruzada de Socket.dev, Phylum o Sonatype al cierre de esta edición. Baileys es una librería popular entre desarrolladores costarricenses que automatizan atención al cliente por WhatsApp en comercios y startups locales; un nombre de paquete parecido al original, instalado sin revisar el espacio de nombres exacto, expone el mismo riesgo que documenta este lote, sin que se conozca un caso costarricense afectado.
La jornada combina una falla de confianza ya corregida en la infraestructura de npm con una alerta por fallas que todavía no llegan parchadas. Bloom Security destapó que Trusted Publishing de npm vinculaba la confianza de publicación al nombre reciclable de un repositorio, lo que expuso más de 1.500 paquetes con más de 10 millones de descargas -corregido desde el 2 de octubre, sin evidencia de explotación activa según la propia Bloom-. Next.js anunció que el 14 de octubre publicará, fuera de calendario, un parche para tres vulnerabilidades en dependencias externas -dos críticas y una alta-, dos de ellas pospuestas desde setiembre por coordinación con esos proyectos externos. Cloudflare sumó cambios reales a workerd un día después de una versión sin ninguno, con un identificador único para las consultas de su sistema de streaming y una nueva bandera de compatibilidad para Wasm compilado en tiempo de ejecución. El rastreo comunitario de paquetes maliciosos duplicó su cifra diaria a 44 entradas nuevas, encabezadas por un clúster de 37 paquetes que imitan a la librería de WhatsApp Baileys. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué parchar o revisar primero esta semana.