CISA confirma explotación activa de la falla crítica de GitLab parcheada hace nueve días, Microsoft cierra el Patch Tuesday más grande del año con 94 fallas críticas, y Node.js 26 entra en soporte de largo plazo justo cuando circula otro aviso de ejecución remota de código en su decodificador Brotli.
La agencia estadounidense añadió la vulnerabilidad de severidad máxima al catálogo de fallas explotadas, nueve días después de que GitLab publicara el parche que la corrige.
La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) sumó a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) la falla CVE-2026-110264 de GitLab, según el resumen diario de seguridad del 30 de octubre de Security Boulevard. Se trata de un desbordamiento de enteros en el compilador de expresiones regulares de GitLab, con puntaje CVSS de 10,0 sobre 10, que permite a un atacante no autenticado ejecutar código arbitrario en un servidor vulnerable; afecta tanto a Community como a Enterprise Edition, con versiones expuestas que se remontan hasta 2014, según la firma de inteligencia de amenazas Rescana. GitLab había corregido la falla el 21 de octubre en las versiones 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13. Al momento de ese parche, ni Censys ni otras firmas de monitoreo habían confirmado explotación pública ni la circulación de una prueba de concepto, según la alerta de la Agencia de Ciberseguridad de Singapur (CSA) sobre esta misma familia de fallas de GitLab. La inclusión en el catálogo KEV de CISA certifica ahora que sí hay explotación confirmada contra instancias sin parchear, aunque ninguna de las fuentes consultadas precisa cuántas organizaciones resultaron afectadas ni si los ataques son dirigidos o masivos -un matiz que pesa frente a la gravedad del puntaje máximo. GitLab es el gestor de control de versiones autoalojado más usado por software factories, bancos y zonas francas costarricenses que prefieren no depender de un proveedor extranjero para alojar su código fuente, y varias instancias locales corren sin actualización automática. CISA exige a las agencias federales de Estados Unidos aplicar el parche antes de la fecha límite fijada en el catálogo; cualquier equipo tico con una instancia self-managed de GitLab debería confirmar de inmediato si ya aplicó alguna de las versiones corregidas el 21 de octubre.
Node.js 26 se promovió a soporte de largo plazo (LTS) el 28 de octubre bajo el codinombre "Lithium", según reportaron el medio especializado DevX y el sitio LinuxCompatible sobre el calendario oficial del proyecto; la rama recibirá parches de seguridad y estabilidad hasta abril de 2029. La versión 26.13.0 es además el último lanzamiento bajo el esquema actual: a partir de Node.js 27 el proyecto adopta un ciclo de un major por año, publicado cada abril y promovido a LTS en octubre siguiente, con la fase alfa de la versión 27 arrancando ese mismo 28 de octubre. LinuxCompatible describe el cambio de calendario como una respuesta a la fragmentación que obligaba a los equipos a vigilar dos ramas activas -Current y LTS- con ritmos de cambio distintos. Las fuentes consultadas no coinciden en el estado exacto de Node.js 24: una la describe como LTS activo y otra como LTS de mantenimiento con fin de vida en abril de 2028, una discrepancia que esta edición no pudo resolver con las fuentes disponibles, por lo que cualquier equipo que dependa de esa versión debería verificar el calendario directamente en nodejs.org. Las software factories y universidades costarricenses que enseñan o despliegan backend en Node.js deberían planear la migración a la rama 26.x antes de que termine el soporte de las versiones que ya tengan en producción, dado que buena parte del desarrollo de software tico corre sobre este runtime.
Microsoft cerró su boletín de seguridad de octubre de 2026 con 94 vulnerabilidades calificadas como críticas, dentro de un total de 1.474 CVE atendidos por la compañía en lo que va del año al 30 de octubre, según reportó el sitio especializado The Back Room Tech sobre cifras de la firma de seguridad Rapid7, que describió el mes como récord. Entre las fallas corregidas está CVE-2026-96951, un día cero del Shell de Windows que ya estaba bajo explotación activa y que Microsoft confirmó el 26 de octubre que también afecta a Microsoft Edge, por lo que recomienda actualizar el navegador a la versión 154.0.4258.62 o posterior. Rapid7 señaló en su análisis del boletín que el volumen de parches de 2026 refleja tanto el crecimiento de la superficie de ataque de los productos de Microsoft como una mayor divulgación coordinada de fallas por investigadores externos, aunque la firma no ofreció una comparación exacta frente al total de 2025. Microsoft no ha explicado públicamente por qué la corrección para Edge llegó cuatro días después que la de Windows, ventana en la que los equipos que usan el navegador sin el parche del Shell quedaron igualmente expuestos. Instituciones públicas y bancos costarricenses que corren Windows en la mayoría de su parque informático corporativo deben confirmar que aplicaron tanto el parche de Windows Shell como la actualización de Edge antes de que termine la semana.
La Agencia de Ciberseguridad de Singapur (CSA) publicó el 23 de octubre una alerta sobre CVE-2026-111497, una falla crítica en el decodificador Brotli integrado en Node.js, con puntaje CVSS de 9,8 sobre 10 que permitiría tanto ejecución remota de código como divulgación de información. La agencia confirmó que ya existen parches disponibles para las tres ramas soportadas y pidió actualizar de inmediato. La información proviene únicamente de esta alerta oficial, sin cobertura cruzada de otro medio especializado al cierre de esta edición. La falla llega la misma semana en que el proyecto promovió Node.js 26 a soporte de largo plazo, un recordatorio de que el calendario de parches de seguridad corre en paralelo e independiente del calendario de nuevas versiones mayores: entrar a LTS no es, por sí solo, garantía de estar libre de fallas críticas pendientes de corregir. Esta edición no encontró, al cierre, ninguna confirmación de explotación activa de CVE-2026-111497 en el catálogo KEV de CISA, a diferencia de la falla de GitLab reportada por separado hoy. Node.js corre debajo de buena parte de las APIs backend costarricenses, por lo que cualquier servicio que use el decodificador Brotli para comprimir respuestas HTTP debería confirmar esta semana la versión de su runtime en producción.
Google Cloud publicó el 30 de octubre la versión 1.16.13 de Apigee hybrid, la variante autoalojada de su plataforma de gestión de APIs que corre dentro del propio clúster de Kubernetes del cliente, con corrección de una lista de vulnerabilidades conocidas documentada en sus notas oficiales de lanzamiento. La compañía no publicó un comunicado aparte que detalle la severidad individual de cada falla corregida, por lo que esta información depende, al cierre de esta edición, únicamente de la página de notas de lanzamiento de Google Cloud, sin cobertura cruzada de otro medio especializado. Apigee hybrid se usa casi exclusivamente en despliegues empresariales que necesitan ejecutar la capa de gestión de APIs dentro de su propia infraestructura por requisitos de cumplimiento, un perfil mucho más acotado que el de los servicios de API totalmente gestionados en la nube. El impacto local es marginal: pocas empresas costarricenses operan la variante hybrid de Apigee frente a las que usan su versión totalmente gestionada o alternativas como Kong o AWS API Gateway, pero quienes sí la corren deberían aplicar la actualización esta semana.
La última semana de octubre deja a la agenda de desarrollo dominada por seguridad: CISA confirmó explotación activa de la falla crítica de GitLab parcheada el 21 de octubre, Microsoft cerró el Patch Tuesday más grande del año con 94 vulnerabilidades críticas, y Singapur alertó sobre una falla de ejecución remota de código en el decodificador Brotli de Node.js. En medio de esa ola, Node.js 26 "Lithium" entró en soporte de largo plazo el 28 de octubre, el mismo día en que el proyecto estrenó un calendario de lanzamientos de un major por año. La semana anterior cerró con GitHub Universe y la promesa de que los agentes de código ya abren el 40% de los pull requests de la plataforma; esta cierra recordando que la infraestructura detrás de ese entusiasmo -gestores de versiones, runtimes, navegadores- sigue acumulando fallas críticas al mismo ritmo que funciones nuevas. Para las software factories, bancos y zonas francas costarricenses, noviembre arranca con una lista de tareas más parecida a una auditoría que a una migración: confirmar los parches de GitLab, Windows, Edge y Node.js antes de que cualquiera de esas fallas pase de "parchada" a "explotada", como ya ocurrió esta semana con la de GitLab.