Chrome DevTools suma consultas de heap y automatización de PWA en octubre, openGauss repara una fuga de bloques binarios sin permisos y una omisión de control de acceso en su replicación HADR, MobaXterm corrige una carga de Cygwin sin verificar integridad, y el rastreo comunitario de paquetes maliciosos documenta un clúster nuevo bajo el nombre apexacc junto a typosquats de la herramienta Fabric.
La edición de octubre de Chrome DevTools añade una función para consultar objetos de un volcado de memoria por tamaño o nombre de atributo, además de herramientas para automatizar la instalación de aplicaciones web progresivas.
Google publicó, en su blog oficial Chrome for Developers, las notas de octubre de 2026 para Chrome DevTools. La actualización central es query_heapsnapshot, una función que permite filtrar objetos de un volcado de memoria directamente por tamaño o por nombre de atributo, en vez de recorrer manualmente el árbol de objetos en el panel de memoria. Las notas también describen un catálogo de emulación de dispositivos reorganizado por factor de forma -teléfono, tableta, escritorio-, con definiciones heredadas y desactualizadas retiradas del listado, nuevas herramientas para automatizar la instalación y el ciclo de vida de aplicaciones web progresivas, y la opción de incluir trazas de pila junto a los mensajes de la consola. La función de consulta de volcados de memoria responde a una limitación práctica del panel de memoria de DevTools: diagnosticar una fuga requiere hoy inspeccionar manualmente miles de objetos retenidos, un proceso lento incluso para desarrolladores con experiencia en profiling. Al permitir una consulta directa por tamaño o atributo, Google apunta a acortar ese diagnóstico en aplicaciones web de gran escala, el mismo tipo de aplicación donde las fugas de memoria son más costosas de rastrear a mano. Las notas no precisan en qué versión de Chrome estable llegan todas las funciones ni si alguna sigue en banderas experimentales; Google suele habilitarlas de forma escalonada en los canales Canary y Beta antes de Stable. Costa Rica no tiene una industria de navegadores propia, pero buena parte del desarrollo web hecho desde zonas francas y agencias digitales ticas depende de Chrome DevTools como herramienta diaria de depuración, por lo que la mejora llega directamente al flujo de trabajo local sin necesidad de ninguna adopción adicional.
El proyecto de código abierto compromised-packages-check fusionó, el 19 de octubre de 2026, su PR 162 con el barrido del 18 y 19 de octubre, según el registro público del proyecto en GitHub. El título del PR anuncia 9 entradas nuevas -7 en npm y 2 en PyPI-, pero el cuerpo del propio PR y los identificadores de OSV que cita solo detallan 8: el proyecto no explica la diferencia, y esta edición reporta la cifra verificable de 8 mientras esa discrepancia queda sin aclarar al cierre. En npm, el lote incluye @pkgship/frpc-linux-arm64, descrito como un binario trojanizado del cliente frp para Linux ARM64; dos paquetes del espacio @apexacc -audit y cli-, que el PR atribuye a una campaña de malware documentada por Elastic Security Labs bajo el nombre Apex Accelerator; @fluxionii/baileys, un fork no oficial y controlado por un atacante de Baileys, la librería que conecta aplicaciones a WhatsApp; y un par de confusión de dependencias, @fcsmc/commercial-analytics y @fmr-ap149494/apex-base-component, publicados bajo espacios de nombres que imitan convenciones corporativas internas. En PyPI, los dos nuevos son fabdeploycheck y fabtoolkit, typosquats de Fabric, la herramienta de despliegue remoto por SSH para Python, ambos con un payload de robo de información según el registro del proyecto. El lote de hoy continúa el patrón que esta sección documentó el 16 y 17 de octubre, cuando el mismo rastreo sumó 19 entradas en un solo barrido: campañas de confusión de dependencias que imitan nombres corporativos, y typosquats de herramientas de línea de comandos ampliamente usadas por equipos de DevOps. Que @apexacc y @fluxionii se agreguen a la lista de espacios de nombres sospechosos del propio proyecto (NPM_SUSPECT_SCOPES) es la respuesta estándar del rastreo ante un espacio de nombres ya comprometido, pero no impide que el atacante abra un espacio nuevo con otro nombre la semana que viene, como ya ocurrió con el clúster que imita a la herramienta opencode documentado los días 14 y 16 de octubre. La información de este caso proviene únicamente del registro del proyecto compromised-packages-check en GitHub, sin confirmación cruzada de Socket.dev, Phylum o Sonatype al cierre de esta edición -salvo la atribución del clúster apexacc, que el propio PR cita a Elastic Security Labs-. Cualquier equipo costarricense que use Fabric para desplegar servidores por SSH, o que dependa de bibliotecas no oficiales para integrar WhatsApp a un producto, debería revisar su lista de dependencias instaladas antes de su próxima actualización de rutina, sin que se conozca un caso costarricense afectado al cierre de esta edición.
El GitHub Advisory Database revisó y actualizó, el 19 de octubre de 2026, el aviso GHSA-cr5j-x763-5676 (CVE-2026-111439, CVSS 3.1 de 4.3, severidad moderada) para openGauss-server, el motor de base de datos de código abierto derivado de PostgreSQL que mantiene Huawei. Según la descripción oficial, la función interna pg_read_binary_file_blocks(), definida en genfile.cpp, solo verifica el número y la cantidad de bloques solicitados y delega en ReadBinaryFileBlocksFirstCall() la normalización de la ruta y el bloqueo de intentos de salir del directorio de datos -pero ninguna de las dos rutinas comprueba si el usuario que hace la llamada tiene privilegios SELECT sobre la tabla cuyo archivo quiere leer-. Un usuario con una conexión normal a la base de datos que obtenga la ruta del archivo de una tabla, por ejemplo con la función pg_relation_filepath() y el sufijo de un archivo comprimido _compress, puede leer los bloques binarios crudos de esa tabla sin tener permiso de lectura sobre ella, según el aviso. La falla, clasificada bajo CWE-862 (ausencia de autorización), afecta a todas las versiones desde la 3.0.0 hasta la 6.0.0; la versión 7.0.0-LTS la corrige, según un parche publicado en GitCode, la plataforma de desarrollo donde openGauss aloja su código. El aviso no exige privilegios especiales ni interacción de otro usuario -el atacante solo necesita una cuenta de base de datos cualquiera y conocer el nombre de la tabla que quiere leer-, lo que lo vuelve más sencillo de explotar que una falla que dependiera de un rol administrativo. El impacto, sin embargo, queda limitado a confidencialidad: el propio vector CVSS marca sin efecto sobre integridad o disponibilidad, y la lectura se hace a nivel de bloque binario crudo, no de filas interpretadas por el motor SQL, lo que exige que el atacante entienda el formato interno de almacenamiento de openGauss para sacarle valor real a los datos obtenidos. La información de este caso proviene únicamente del aviso oficial de GitHub y de NVD, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. openGauss circula sobre todo entre clientes de la nube de Huawei y organismos estatales chinos; no hay evidencia pública de una implementación costarricense de openGauss, por lo que el impacto local es marginal y sin un caso conocido al cierre de esta edición.
El GitHub Advisory Database revisó y actualizó, el 19 de octubre de 2026, el aviso GHSA-65mg-g3fh-wfvj (CVE-2026-111438, CVSS 3.1 de 6.5, severidad moderada) para openGauss-server. Según la descripción oficial, la función hba_getauthmethod() en hba.cpp -el archivo que decide qué método de autenticación aplica a cada conexión entrante- nunca exige el chequeo is_node_internal_connection() cuando la conexión llega por el protocolo de replicación HADR o SW; en vez de eso llama directamente a check_hba_replication(), una validación más laxa que no incluye la prohibición de autenticación "trust" remota que sí aplica la ruta normal check_hba(). El resultado, de acuerdo con el aviso, es que una conexión de replicación que llega desde una red que no es la interna puede saltarse esa restricción y la política completa de pg_hba, autenticarse y usar el protocolo de replicación para leer datos de respaldo y de bitácora. La falla, clasificada bajo CWE-288 (omisión de autenticación por una vía alterna), afecta a las ramas 3.0.x, 3.1.x, 5.0.x, 5.1.0, 6.0.x y a las versiones candidatas 7.0.0-RC1 a RC3; la versión 7.0.0-LTS la corrige exigiendo que las conexiones de replicación HADR y SW pasen también por is_node_internal_connection(), según el parche publicado en GitCode. Que la misma versión, 7.0.0-LTS, cierre hoy esta falla y la de pg_read_binary_file_blocks sugiere que ambas corrección llegaron juntas como parte de la revisión de seguridad previa al lanzamiento de la rama de soporte extendido de openGauss, no como respuesta a un incidente aislado. El aviso exige privilegios altos (PR:H en el vector CVSS) para explotarla -quien ataca ya necesita control sobre un nodo capaz de iniciar una conexión de replicación-, lo que acota el escenario práctico a arquitecturas donde un nodo de respaldo o de alta disponibilidad quedó expuesto a una red que debía estar aislada, más que a un atacante anónimo desde internet. La información de este caso proviene únicamente del aviso oficial de GitHub y de NVD, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. Como con la falla de lectura de bloques binarios publicada el mismo día, no hay evidencia pública de una implementación costarricense de openGauss, por lo que el impacto local es marginal y sin un caso conocido al cierre de esta edición.
El GitHub Advisory Database revisó y actualizó, el 19 de octubre de 2026, el aviso GHSA-4hm2-976c-4pjq (CVE-2026-112161, CVSS 4.0 de 8.5, severidad alta) para MobaXterm Personal Edition, la versión portable 26.4 GA del cliente de terminal y SSH para Windows. Según la descripción oficial, citando un aviso de INCIBE-CERT, la aplicación extrae el archivo CygUtils64.plugin sin verificar primero su integridad; un atacante con permiso de escritura sobre ese plugin puede sustituir la librería bin/cygwin1.dll incluida dentro de él por una versión maliciosa. Cuando la víctima abre una sesión de shell local o usa cualquier función basada en Cygwin -el entorno de compatibilidad POSIX que MobaXterm empaqueta para ejecutar comandos de estilo Unix en Windows-, el programa extrae el componente manipulado y carga la librería falsa, que entonces ejecuta código con los permisos de la víctima. La falla, clasificada bajo CWE-345 (verificación insuficiente de autenticidad de datos), no tiene todavía una versión corregida confirmada en el aviso. El propio vector CVSS limita el alcance real de la falla: requiere acceso local (AV:L) y privilegios bajos ya existentes (PR:L), y no describe ningún paso de escalamiento de privilegios por sí sola -el atacante necesita, de entrada, poder escribir en la carpeta donde vive el plugin, algo que en la mayoría de instalaciones de un solo usuario ya equivale a tener control de la cuenta-. Eso no vuelve irrelevante la falla en escenarios compartidos -una estación de trabajo con varios usuarios, o un directorio de plugins sincronizado por una herramienta de gestión de configuración de TI-, pero sí separa el puntaje "alto" del CVSS de un escenario de explotación remota, el tipo de lectura que conviene hacer explícita antes de tratar la falla como una emergencia. La información de este caso proviene únicamente del aviso de GitHub, que cita a su vez al INCIBE-CERT español, sin cobertura cruzada de un medio de seguridad especializado al cierre de esta edición. MobaXterm es una de las herramientas más usadas por administradores de sistemas y desarrolladores costarricenses que necesitan un cliente SSH y X11 en equipos Windows, común en soporte de TI de empresas de zonas francas; esos equipos deberían confirmar si su versión 26.4 GA corre en estaciones compartidas antes de que el proveedor publique una corrección, sin que se conozca un caso costarricense afectado al cierre de esta edición.
— MobaXterm extrae el componente CygUtils64.plugin sin comprobar su integridad, lo que permite que un atacante con acceso de escritura previo sustituya la librería de Cygwin que el programa termina ejecutando.
La jornada del 19 de octubre combina una mejora de productividad en Chrome DevTools con una nueva ronda de avisos de control de acceso en bases de datos y herramientas de escritorio. Google sumó a Chrome DevTools la función query_heapsnapshot para consultar volcados de memoria por tamaño o atributo, además de automatización para aplicaciones web progresivas. openGauss, el motor de base de datos de código abierto de Huawei derivado de PostgreSQL, corrigió dos fallas de control de acceso el mismo día: una que permitía leer bloques binarios de cualquier tabla sin permiso SELECT, y otra que dejaba a conexiones de replicación HADR saltarse la política completa de autenticación; ambas se cierran en la versión 7.0.0-LTS. MobaXterm, el cliente de terminal para Windows, corrigió una carga de su componente Cygwin sin verificación de integridad, aunque explotarla exige que el atacante ya tenga acceso de escritura local. Y el rastreo comunitario de paquetes maliciosos sumó 8 entradas nuevas en npm y PyPI, encabezadas por un clúster que imita el espacio apexacc y dos typosquats de la herramienta de despliegue Fabric -aunque el propio proyecto anunció 9 entradas sin que la lista detallada las sustente. Todas las historias completas, con sus fuentes primarias, quedan disponibles arriba para decidir qué parchar o revisar primero esta semana.