Node.js repara una falla crítica en Brotli, Microsoft parcha en Visual Studio Code una ejecución remota con CVSS 9.6, el gusano Shai-Hulud reaparece en npm pese a los filtros de publicación, y GitHub ultima la agenda de su conferencia Universe a cinco días del evento.
Node.js publicó el 21 de octubre los lanzamientos de seguridad 22.23.4, 24.22.1 y 26.12.1, que corrigen diez vulnerabilidades —cuatro de severidad alta—, según el resumen de la firma de monitoreo Konfirmity sobre el boletín oficial del proyecto. La falla más grave es un error de corrupción de memoria en la descompresión Brotli que, de acuerdo con ese resumen, podría permitir ejecución remota de código en aplicaciones que procesan datos comprimidos sin controles adicionales. El paquete llega semanas después del ciclo de julio, que ya había corregido once vulnerabilidades y dejado sin parches a Node.js 18 y 20 por el fin de su ciclo de soporte, según HeroDevs. Las líneas 22.x, 24.x y 26.x son las únicas que reciben el parche de octubre; cualquier despliegue que siga corriendo Node.js 20 o versiones anteriores queda expuesto de forma permanente a estas fallas, incluida la de Brotli. La actualización también renueva componentes incluidos como OpenSSL, SQLite, Undici y c-ares, de acuerdo con la misma cobertura; Node.js no ha publicado todavía el boletín detallado en nodejs.org al cierre de esta edición. Para las software factories y bancos costarricenses que corren servicios en Node.js —una base común del desarrollo local de APIs—, la ventana para migrar fuera de Node.js 20 se estrecha con cada ciclo de parches que esa versión ya no recibe.
Microsoft publicó el 13 de octubre la versión 1.141.1 de Visual Studio Code para corregir dos fallas de recorrido de ruta, la más grave con una puntuación CVSS de 9.6 y catalogada como CVE-2026-102238, según la cobertura de Warp2Search sobre el aviso. La vulnerabilidad afecta a todas las versiones del editor entre la 1.0.0 y la 1.141.0, y requiere que la víctima interactúe con un archivo o proyecto manipulado para activarse. La información proviene de esa única cobertura, sin confirmación cruzada de otro medio especializado al cierre de esta edición. El parche llega seis días después de que Microsoft lanzara la versión 1.141, que sumó un arnés unificado para Copilot, una cuadrícula de sesiones y aislamiento multiplataforma para los agentes de código. La combinación —una función de aislamiento nueva y, pocos días después, una falla crítica de ejecución remota en el mismo editor— ilustra el ritmo con que Microsoft empuja funciones de IA agéntica sin que la superficie de seguridad del editor se mantenga pareja. Microsoft recomienda actualizar de inmediato a la versión 1.141.1 o posterior; la actualización automática del editor aplica el parche sin intervención manual en la mayoría de las instalaciones. VS Code es el editor más usado entre programadores costarricenses, en línea con la tendencia global que confirmó la última encuesta de Stack Overflow, por lo que la ventana de exposición queda abierta en las software factories y equipos de banca local que retrasen la actualización.
Cuatro paquetes con una carga vinculada al ataque de mayo contra @antv subieron el 7 de setiembre y evadieron el escaneo de publicación de npm, según investigadores citados por ITPro.
Cuatro paquetes de npm publicados el 7 de setiembre contenían una carga maliciosa idéntica a la usada en el ataque de mayo contra el paquete @antv, y lograron pasar el escaneo automático de publicación que npm activó tras esa misma ola de ataques, según investigadores de seguridad citados por ITPro. Cada paquete quedó retenido entre cinco y quince minutos antes de volverse instalable, el tiempo que tardó el escaneo en completarse sin marcarlos. El hallazgo llega después de que GitHub y npm presentaran el escaneo de publicación en tiempo de subida como su principal respuesta a la ola de ataques Shai-Hulud de julio y agosto, que según un informe de Ox Security comprometió más de 440 paquetes únicos poco después de que esos controles entraran en vigor. Los investigadores citados por ITPro interpretan la reaparición de setiembre como evidencia de que el hash de la carga, ya documentado por varios proveedores de seguridad, debió bastar para bloquear los paquetes antes de publicarse —un argumento que contradice la narrativa de npm de que sus filtros de publicación cerraron la brecha que explotó Shai-Hulud. Una sesión del Open Source Summit Europe, realizada el 9 de octubre, calificó a la familia Shai-Hulud como una amenaza todavía activa y a su variante más reciente como el inicio de una nueva línea del gusano, sin que haya trascendido un nuevo incidente confirmado dentro de las últimas 24 horas. Para las software factories y fintechs costarricenses que dependen de paquetes de npm en sus stacks de JavaScript y TypeScript —el mismo punto señalado en la edición de ayer—, la lección práctica sigue siendo fijar versiones exactas y auditar permisos de publicación antes de cada despliegue, porque el registro no garantiza blindaje contra cargas ya conocidas.
GitHub confirmó que su conferencia anual Universe se realizará los días 28 y 29 de octubre en el Fort Mason Center de San Francisco, con el catálogo completo de sesiones publicado desde agosto y paneles que incluyen a Anthropic, OpenAI, NVIDIA, Figma y Coinbase, según el blog oficial de GitHub. El lema de esta edición, "All together now, in the agentic era", resume el eje de las sesiones: delegar tareas a Copilot, medir el impacto de la IA en empresas y asegurar servidores MCP. La conferencia llega en una semana marcada por cambios en Copilot: GitHub retiró y reemplazó ocho modelos de lenguaje en dos tandas durante octubre, según su propio changelog, y Visual Studio Code —el editor donde corre buena parte de esos agentes— sumó esta semana aislamiento multiplataforma seguido, días después, de un parche crítico de seguridad. Universe suele ser el escenario donde GitHub anuncia los cambios más grandes del año en Copilot, por lo que la expectativa de la industria es que la compañía use el evento para consolidar, no solo anunciar, las piezas que viene moviendo todo el mes. GitHub no ha confirmado todavía una transmisión en español ni actividades satélite para Latinoamérica, una ausencia que community managers de meetups ticos de desarrollo han señalado en ediciones anteriores del evento; los desarrolladores costarricenses que sigan la conferencia lo harán, como en años previos, por streaming en inglés y los resúmenes posteriores de medios especializados.
Node.js, Visual Studio Code y npm sufrieron fallas de ejecución remota o cargas maliciosas en menos de dos meses, un patrón que sostiene la idea de que la cadena de suministro de JavaScript sigue siendo un punto débil estructural.
Tres piezas centrales del flujo de trabajo de cualquier equipo de desarrollo acumularon fallas críticas de seguridad en las últimas semanas: Node.js corrigió el 21 de octubre un error de ejecución remota en su librería de compresión Brotli, Visual Studio Code parchó el 13 de octubre una falla de recorrido de ruta con CVSS 9.6, y el registro npm dejó pasar en setiembre una carga maliciosa que su propio escaneo de publicación debía bloquear. Los tres casos comparten un patrón que ninguno de los avisos individuales nombra: ocurren en componentes que casi todo equipo de desarrollo da por sentado —el runtime, el editor, el gestor de paquetes— y en los tres casos el parche llegó después de que el problema ya estuviera en producción, no antes. Ninguno fue, por separado, catastrófico: los parches salieron, las versiones soportadas se corrigieron y no hay evidencia pública de explotación masiva confirmada al cierre de esta edición. Pero la concentración de tres incidentes de ejecución remota en el mismo stack de JavaScript en menos de dos meses sostiene el argumento de PkgPulse, citado ayer en esta misma edición, de que el eslabón débil de la cadena de suministro de JavaScript sigue siendo estructural, no anecdótico. Para los equipos de desarrollo en Costa Rica —software factories, bancos y empresas de zona franca que corren Node.js y VS Code a diario— la recomendación práctica no cambia de un incidente a otro: automatizar la actualización de runtime y editor, y tratar cualquier versión fuera de soporte, como Node.js 20, como una deuda de seguridad pendiente y no como una opción de calendario.