CISA fija al 1 de noviembre el plazo para parchear la falla crítica de GitLab mientras octubre cierra con más de 15 fallas de infraestructura corregidas, PostgreSQL 19 se acerca a su lanzamiento final y el Grupo de Trabajo de Node.js discute, sin confirmar todavía, pasar a un release anual.
GitLab corrigió el 21 de octubre una falla crítica identificada como CVE-2026-110264, con la máxima puntuación de severidad (CVSS 10,0), que permite a un atacante no autenticado ejecutar código arbitrario en instalaciones autoadministradas (self-managed) de las ediciones Community y Enterprise desde la versión 7.0 en adelante, según el análisis técnico publicado por Astra Security. La compañía no ofrece una mitigación alternativa: las versiones corregidas son 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 y 19.5.1, y las instancias que se habían actualizado el 12 de octubre con un parche anterior -para la falla distinta CVE-2026-97229- siguen expuestas si no aplican también este build del 21 de octubre. GitLab.com y GitLab Dedicated, las versiones que la empresa opera directamente, ya estaban protegidas. Esta edición reportó ayer que la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) había confirmado explotación activa de la falla. El sitio especializado PBX Science afirmó además que CISA sumó la vulnerabilidad a su catálogo de fallas explotadas conocidas (KEV) con un plazo de remediación fijado para hoy, 1 de noviembre, para las agencias federales estadounidenses. Esa lectura contradice a otro análisis, publicado por el sitio de seguridad Safeguard, que describía la falla como todavía ausente del catálogo KEV al momento de su redacción, días antes. Esta edición no pudo confirmar de forma independiente cuál de las dos versiones refleja el estado actual del catálogo oficial de CISA. GitLab recomienda a todos los administradores de instancias autoadministradas revisar su versión exacta y aplicar el build correspondiente del 21 de octubre, incluso si ya parchearon a inicios de mes. Costa Rica no cuenta con un registro público de cuántas empresas locales operan GitLab autoadministrado, pero firmas de software y bancos que lo usan para su entrega continua (CI/CD) deben tratar la actualización como urgente, dado que no existe una mitigación alternativa mientras se confirma el estado real ante CISA.
El proyecto PostgreSQL publicó el 15 de octubre la primera versión release candidate de PostgreSQL 19, según el calendario que recoge el sitio especializado VersionLog con base en los anuncios oficiales del proyecto. La nueva versión mayor expande el subsistema de entrada y salida (E/S) asíncrona introducido en la versión 18: ahora el número de procesos de E/S se ajusta automáticamente según la carga del servidor, y los checksums de datos pueden activarse o desactivarse sin necesidad de reiniciar la base. PostgreSQL es uno de los motores de base de datos de código abierto más usados entre bancos digitales y empresas de software de la región, y el salto de un release candidate a la versión final suele tomar entre dos y cuatro semanas en el historial reciente del proyecto. La fecha importa además porque la versión 14 del motor, todavía activa en instalaciones más antiguas, deja de recibir parches de seguridad el 12 de noviembre, lo que obliga a esos equipos a planear una migración en las próximas semanas, ya sea hacia la 18 vigente o directamente hacia la nueva 19. El proyecto no ha confirmado todavía la fecha exacta de disponibilidad general de la versión 19. Desarrolladoras costarricenses de software financiero, uno de los segmentos más grandes de la industria tech local, usan PostgreSQL como motor por defecto en buena parte de sus sistemas, por lo que tanto el fin de soporte de la versión 14 como la llegada de la 19 son calendarios que sus equipos de plataforma ya deben estar siguiendo.
— La primera versión candidata salió el 15 de octubre con mejoras en el subsistema de entrada y salida asíncrona que PostgreSQL 18 había introducido.
El repaso mensual "Vulntober 2026", publicado por la firma de inteligencia de amenazas ThreatMon, contabiliza más de 15 fallas críticas corregidas durante octubre en herramientas de infraestructura y entrega de software, entre ellas la falla de GitLab reportada arriba, vulnerabilidades en equipos de Cisco y en el cortafuegos PAN-OS de Palo Alto Networks, además de una ola de ataques que la firma bautizó "PHP2Shell". La información proviene únicamente de ThreatMon, sin confirmación independiente al cierre de esta edición. El acumulado se suma al boletín mensual de Microsoft, que esta misma edición reportó el viernes con 94 fallas críticas solo en sus propios productos, lo que deja a octubre de 2026 como un mes especialmente cargado de parches de infraestructura para los equipos de operaciones y seguridad. Ese volumen obliga a priorizar: no todas las fallas tienen explotación activa confirmada, pero la combinación de puntuaciones CVSS altas y herramientas de uso extendido -GitLab, Cisco, PAN-OS- eleva el riesgo de que alguna termine en ataques reales durante noviembre. Equipos de seguridad corporativa suelen usar la primera semana de noviembre para cerrar el inventario de octubre antes de que llegue el siguiente Patch Tuesday de Microsoft, previsto para el 10 de noviembre. Empresas de zona franca que prestan soporte de infraestructura a clientes internacionales -un segmento relevante del empleo tech costarricense- suelen absorber esta carga de parches fuera de horario, aunque no existen cifras públicas sobre cuántas instancias operadas desde el país están expuestas a estas fallas específicas.
La agenda pública de la reunión del Grupo de Trabajo de Lanzamientos de Node.js del 15 de octubre de 2026, publicada por el propio grupo en HackMD, incluye como punto de discusión pasar de dos versiones mayores al año a un esquema de un solo lanzamiento mayor anual, en el que cada versión se convertiría directamente en soporte de largo plazo (LTS). Según una lectura de ese cronograma que recoge el sitio especializado ecorpit.com, el cambio implicaría que Node.js 27 entre en fase alfa este mismo mes, con una versión 27.0.0 estable prevista para abril de 2027 y soporte LTS desde octubre de ese año. El esquema actual publica una versión mayor cada seis meses, y solo las de número par llegan a LTS -el patrón bajo el cual esta edición reportó ayer que Node.js 26 "Lithium" entró a soporte de largo plazo-. Pasar a un release anual alargaría el ciclo de soporte pero reduciría el ritmo de actualizaciones mayores disponibles para los equipos de desarrollo. La propuesta todavía no aparece confirmada en una publicación oficial del blog de Node.js, por lo que esta edición la trata como información preliminar sujeta a confirmación en las próximas semanas. Costa Rica alberga centros de desarrollo de fintechs locales y operaciones de soporte de multinacionales en zona franca que dependen de Node.js en producción; un cambio en el calendario de versiones mayores afecta la planificación de sus equipos de plataforma, aunque el efecto inmediato es marginal mientras la propuesta no se confirme oficialmente.
Noviembre arranca con la industria del desarrollo bajo presión de parches: CISA fijó para hoy el plazo de remediación de la falla crítica de GitLab, aunque persiste la duda sobre si esa fecha ya es oficial, mientras el repaso Vulntober de ThreatMon cuenta más de 15 fallas de infraestructura corregidas solo en octubre. En paralelo, dos calendarios de producto avanzan sin sobresaltos: PostgreSQL 19 se acerca a su lanzamiento general tras el release candidate del 15 de octubre, y el Grupo de Trabajo de Lanzamientos de Node.js discute -todavía sin confirmar- pasar a un esquema de un solo release mayor al año.