Microsoft corrige un desbordamiento de memoria crítico en QUIC y dos fallas de contrabando de solicitudes en Kestrel, Cloudflare reemplaza en Rust el servidor de workerd, HashiCorp cierra una falla de agotamiento en Terraform, Grafana corrige cuatro fallas moderadas en Git Sync y Azure Monitor, y el rastreo comunitario de paquetes maliciosos halla 21 entradas nuevas en npm y PyPI.
Microsoft publicó, el 13 de octubre de 2026, tres avisos de seguridad críticos para el ecosistema .NET a través del catálogo de avisos de GitHub y del canal oficial dotnet/announcements. El más severo, CVE-2026-105016 (GHSA-5gjq-3f94-rcf7, CVSS 3.1 de 9.8, acreditado al investigador pwn2addr), afecta a Microsoft QUIC -el componente que .NET 8.0, 9.0, 10.0 y 11 RC2 usan para servir tráfico HTTP/3 en Windows- y permite que "a crafted IPv6 QUIC packet" alcance la ruta HTTP/3 del protocolo y provoque ejecución remota de código sin autenticación ni interacción del usuario, según el aviso. Los otros dos avisos, CVE-2026-88092 (CVSS 9.4) y CVE-2026-70188 (CVSS 9.1, ambos acreditados a los investigadores thegoldmandm y Aayush Atharva), afectan a Kestrel, el servidor web integrado de ASP.NET Core en Windows, Linux y macOS: ambos permiten contrabando de solicitudes HTTP -una conexión abortada puede hacer que bytes de un cuerpo de solicitud sin leer se reinterpreten como una solicitud nueva, en el primer caso, y que caracteres de salto de línea en cabeceras HTTP/2 se acepten como válidos, en el segundo-. Microsoft ya publicó las versiones corregidas para las tres fallas: 8.0.32, 9.0.21, 10.0.13 y 11.0.0-rc.2. Que las tres fallas lleguen el mismo día, con puntajes de CVSS por encima de 9, sugiere una revisión de seguridad coordinada del equipo de .NET antes de una fecha de publicación fija, un patrón habitual en los programas de seguridad de proveedores grandes. Ninguno de los tres avisos indica explotación activa conocida al cierre de esta edición, y la falla de QUIC exige que la aplicación tenga habilitado HTTP/3 sobre IPv6 -una configuración específica, no el modo de transporte por defecto en la mayoría de instalaciones de ASP.NET Core-, lo que acota el universo real de aplicaciones expuestas frente a lo que sugiere, a primera vista, un puntaje de 9.8. Los dos avisos de Kestrel sí aplican a un universo más amplio, porque Kestrel es el servidor HTTP que corre por defecto en cualquier aplicación ASP.NET Core, sin configuración adicional. La información de este caso proviene únicamente de los avisos oficiales de Microsoft publicados en GitHub y en dotnet/announcements, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. .NET y ASP.NET Core son parte habitual del stack de bancos, aseguradoras y empresas de outsourcing de software que operan en zonas francas costarricenses; esos equipos deberían correr "dotnet --info" para identificar versiones instaladas y aplicar la actualización de servicio en su próximo ciclo de despliegue, sin que se conozca un caso costarricense afectado al cierre de esta edición.
Cloudflare publicó, el 14 de octubre de 2026, la versión v1.20261014.1 de workerd, el motor de código abierto que corre Cloudflare Workers, con el cambio de arquitectura más grande que esta sección ha documentado en la racha diaria que sigue desde finales de setiembre: el PR #7639, de danlapid y fusionado el 13 de octubre, reemplaza el servidor en C++ del binario workerd por un servidor escrito en Rust que controla una fábrica en C++ a través de un único puente cxx. La fábrica conserva el código que toca directamente el isolate de V8 -compilar workers, iniciar solicitudes, construir actors-, mientras que el lado en Rust pasa a manejar la interpretación de configuración, bindings, servicios, listeners, el ciclo de vida de los actors, el drenado de conexiones y el comando "workerd test". El propio PR se describe como "the last PR of the Rust-server split" y suma 13.707 líneas nuevas contra 9.193 líneas reemplazadas. El autor del parche documenta, en la propia descripción del PR, una lista de cambios de comportamiento deliberados frente al servidor en C++ que sustituye: cada error de configuración se reporta ahora completo, no solo el primero; el tiempo de espera de keep-alive pasa de 5 a 15 segundos; las conexiones salientes a servicios "external" y "network" dejan de reutilizarse, una limitación que el propio autor reconoce como una brecha conocida; y el manejo de rutas del servicio de disco cambia -una solicitud a "GET /sub//f.txt" ahora devuelve 404 en vez de 200-. La revisión de código del propio proyecto encontró, además, una regresión real y no deliberada: según documentó el revisor guybedford en el PR, el servicio "internet" por defecto perdió la capacidad de verificar una cadena TLS firmada con una autoridad certificadora P-521 que sí reconocía la implementación anterior en C++, un problema que el equipo dejó para una corrección posterior. Las pruebas locales del propio autor, en macOS arm64, registraron 2.132 casos exitosos, 8 omitidos y 8 fallidos -la mayoría en los módulos container-client y worker-loader-test-, sin que se hayan corrido todavía las suites de Linux, Windows, ASAN ni TSAN según la propia descripción del PR. La información de este caso proviene únicamente del registro oficial de workerd y de la discusión de código en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Costa Rica no aloja una región de Cloudflare, pero agencias digitales y startups ticas que despliegan aplicaciones sobre Workers reciben este cambio de arquitectura de forma automática en su próximo despliegue; equipos que dependan de certificados TLS firmados con curvas P-521 en servicios externos deberían revisar sus configuraciones antes de confiar en la verificación por defecto.
HashiCorp publicó, el 14 de octubre de 2026, la versión 1.16.6 de Terraform, la herramienta de infraestructura como código de código abierto que administra recursos en la nube mediante archivos de configuración declarativos. La nueva versión corrige CVE-2026-78669, una vulnerabilidad de agotamiento de recursos a través del protocolo HTTP/2 (issue #39375 del repositorio oficial), según las notas de la propia versión. El mismo texto acota el alcance real de la falla: "exploitation would require a compromised (untrusted) provider/module registry" -es decir, no un ataque remoto directo contra una instalación normal de Terraform, sino un registro de proveedores o módulos que ya esté comprometido de antemano-, y agrega que ese escenario "is considered to be outside the perimeter of Terraform core security guarantees". El mismo día, HashiCorp también publicó el candidato de lanzamiento 1.17.0-rc2, que suma soporte para variables y locals dentro de los requisitos de proveedores, un modo de plan "-minimal-refresh" que solo actualiza los recursos con cambios propuestos, y la disponibilidad general de Terraform Policy sin bandera experimental. Que el propio aviso de HashiCorp declare la falla fuera del perímetro de garantías de seguridad que la herramienta promete por diseño es una forma inusual de transparencia: la compañía reconoce la vulnerabilidad y la corrige, pero aclara de entrada que su explotación exige un eslabón de la cadena de suministro -un registro de módulos o proveedores- que ya esté bajo control de un atacante, no un fallo de Terraform operando normalmente. Terraform es la herramienta de infraestructura como código más usada entre equipos de DevOps que administran despliegues en AWS, Azure y Google Cloud, lo que vuelve relevante cualquier parche de seguridad incluso cuando, como en este caso, el escenario de ataque real es acotado. La información de este caso proviene únicamente de las notas de la versión publicadas por HashiCorp en GitHub, sin cobertura cruzada de un medio especializado al cierre de esta edición. Equipos de DevOps en bancos y empresas de zona franca costarricenses que usan Terraform sobre el registro público oficial de HashiCorp enfrentan un riesgo marginal con este CVE en particular -el escenario que describe el aviso exige un registro ya comprometido-, pero conviene aplicar la actualización 1.16.6 en el próximo ciclo si la organización opera su propio registro privado de módulos o proveedores.
— La versión 1.16.6 de Terraform, publicada el 14 de octubre, cierra una vulnerabilidad de agotamiento de recursos en HTTP/2 que solo se puede explotar desde un registro de módulos o proveedores ya comprometido.
Grafana Labs publicó, el 13 de octubre de 2026, las versiones 13.2.4, 13.1.8, 13.0.11 y 12.4.13 de Grafana, la plataforma de código abierto para paneles de observabilidad, con cuatro parches de seguridad de severidad moderada, según el catálogo de avisos de GitHub. CVE-2026-95502 (GHSA-w2wx-887f-65f8) permite que un servidor Git usado por la función Git Sync de aprovisionamiento agote los recursos de Grafana; CVE-2026-33374 (GHSA-5mj5-pfmr-wxjp) señala que los endpoints de la API de conversión de reglas de Prometheus no limitan el tamaño del cuerpo de la solicitud; CVE-2026-15577 (GHSA-pm7c-5ghp-r9fq) permite que un usuario o cuenta de servicio con acceso de solo lectura modifique conexiones de Git Sync que no debería poder tocar; y CVE-2026-93294 (GHSA-5wf9-m99g-f6xj) permite que un usuario con acceso de consulta a un origen de datos de Azure Monitor use su proxy de recursos para llamar APIs de Azure fuera del alcance previsto. La misma entrega corrige, además, un problema donde las redirecciones entre hosts de OAuth2 en el sistema de alertas reenviaban cabeceras sensibles sin necesidad. Las cuatro fallas comparten una característica: ninguna aplica por defecto a una instalación estándar de Grafana de código abierto sin esas funciones específicas activas -Git Sync de aprovisionamiento, la API de conversión de reglas de Prometheus o un origen de datos de Azure Monitor configurado-, lo que reduce el universo real de instalaciones expuestas frente al total de despliegues de Grafana. La misma ronda de parches incluye, en la edición Enterprise, una corrección de IAM para SCIM (CVE-2026-92539), que las notas de la versión describen sin mayor detalle sobre su severidad. La información de este caso proviene únicamente del catálogo de avisos de GitHub, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. Grafana es el panel de observabilidad más común entre equipos de SRE y DevOps costarricenses que monitorean microservicios en AWS y Azure desde zonas francas; la mayoría de esas instalaciones no activa Git Sync de aprovisionamiento ni expone un origen de datos de Azure Monitor a usuarios con acceso de consulta amplio, por lo que el riesgo práctico local es bajo, sin que se conozca un caso costarricense afectado.
El proyecto compromised-packages-check documentó, en su barrido del 13 y 14 de octubre, un clúster de nueve paquetes que imitan al CLI opencode y un intento de confusión de dependencias contra el espacio de Accenture.
El proyecto de código abierto compromised-packages-check registró, en su PR 157 -fusionado el 14 de octubre de 2026, con un barrido fechado el 13 y 14 de octubre-, 21 entradas nuevas de paquetes maliciosos: 17 en npm y 4 en PyPI, según el registro público del proyecto en GitHub. El lote más grande es un clúster de nueve paquetes bajo el nombre opencode2 y ocho binarios específicos de plataforma que, según la descripción del propio PR, "impersonate sst/opencode CLI and its platform-specific binaries" -opencode es una herramienta de terminal de código abierto para asistir programación que acumula más de cien mil estrellas en GitHub, un blanco atractivo por su popularidad entre programadores-. El registro también documenta un par de paquetes llamados passwordcracker y passwordcrackv2 -el primero descrito como una librería falsa de autenticación multifactor de Discord que descarga su carga desde un repositorio de GitHub controlado por el atacante-; un paquete adicional de la familia Baileys (@chatest/baileys), el mismo clúster de typosquats de la librería de WhatsApp que esta sección cubrió el 13 de octubre; y dos intentos de confusión de dependencias, uno contra el paquete brass-common y otro contra el espacio @accenturecodefoundry/, con el paquete señuelo mfe-pot-shared-ui-scds-core. En PyPI, el lote suma cuatro infostealers -sysdiagd, fontcase, crelic-bqwheel-52f66a3f1d y pyyi, este último descrito como un intérprete falso de Python 2 que registra el equipo infectado en un servidor de comando y control-. La cifra de hoy -21- es menos de la mitad de las 44 entradas del barrido anterior, pero continúa el mismo patrón que esta sección documenta desde hace una semana: ataques de confusión de dependencias contra espacios de nombres corporativos específicos, esta vez contra Accenture, después de los casos ya documentados contra la cooperativa chilena Coopeuch y contra espacios genéricos como kmf. Que el ataque elija el nombre de una herramienta real y popular como opencode, en vez de un nombre genérico, sugiere que el objetivo son programadores que buscan instalar la herramienta legítima y escriben mal el nombre del paquete o confían en un resultado de búsqueda equivocado. La información de este caso proviene únicamente del registro del proyecto compromised-packages-check en GitHub, sin confirmación cruzada de Socket.dev, Phylum o Sonatype al cierre de esta edición. Accenture opera varios centros de servicios tecnológicos en zona franca, en Heredia y San José; aunque este intento de confusión de dependencias apunta al registro global de npm y no a una instalación costarricense específica, cualquier organización local con su propio scope de npm enfrenta el mismo tipo de riesgo, sin que se conozca un caso costarricense afectado por este lote.
La jornada del 14 de octubre combina tres fallas críticas en el ecosistema .NET con una reescritura de arquitectura en la infraestructura de Cloudflare y una ronda más de parches de seguridad en herramientas de uso diario para equipos de DevOps. Microsoft corrigió un desbordamiento de memoria crítico (CVSS 9.8) en el componente QUIC de .NET que permite ejecución remota de código sin autenticación, junto con dos fallas de contrabando de solicitudes en Kestrel, el servidor web de ASP.NET Core. Cloudflare reemplazó el servidor en C++ de workerd por uno escrito en Rust -el último paso de una migración que arrastra desde hace semanas-, aunque la propia revisión de código encontró una regresión real en la verificación de certificados TLS con curvas P-521. HashiCorp cerró una falla de agotamiento de recursos en Terraform que, según su propio aviso, solo se puede explotar desde un registro de módulos ya comprometido, y Grafana Labs corrigió cuatro fallas moderadas en Git Sync, la API de reglas de Prometheus y el proxy de Azure Monitor. El rastreo comunitario de paquetes maliciosos sumó 21 entradas nuevas en npm y PyPI, encabezadas por un clúster que imita al CLI de código abierto opencode. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué parchar o revisar primero esta semana.