CISA confirma explotación activa del bug Node2Shell con plazo al 10 de noviembre, npm sigue sin corregir una falla crítica en tar heredada en Node 22, Cloudflare absorbe a todo el equipo de Deno, y la encuesta 2026 de Stack Overflow confirma el dominio persistente de JavaScript y PostgreSQL.
La agencia estadounidense agregó la falla crítica del decodificador Brotli de Node.js a su catálogo de vulnerabilidades explotadas y fijó una fecha límite de parcheo para las agencias federales.
La Agencia de Seguridad Cibernética y de Infraestructura de Estados Unidos (CISA) añadió el 27 de octubre la vulnerabilidad CVE-2026-111497, apodada "Node2Shell", a su catálogo de fallas explotadas activamente (KEV), y dio a las agencias civiles federales hasta el 10 de noviembre para aplicar el parche, según reportó SecurityWeek. La falla, un desbordamiento de escritura fuera de límites en el decodificador Brotli de Node.js, recibió un puntaje crítico de 9.2 en CVSSv4 por parte de Google como autoridad numeradora de CVE, aunque el propio proyecto Node.js la clasifica como de severidad alta. Los parches llegaron el 21 de octubre en las versiones 22.23.4, 24.22.1 y 26.12.1; las líneas 25.x, 23.x y 20.x, ya sin soporte, no recibirán corrección, según documentó la firma Cycode. El caso reabre la discusión sobre el soporte diferenciado entre versiones LTS y las que ya llegaron a su fin de vida: cualquier aplicación que todavía corra sobre una rama sin soporte queda expuesta sin parche oficial disponible. La firma de seguridad Imperva ya demostró ejecución remota de código contra una imagen oficial de Node.js, y Broadcom confirmó que SDDC Manager, parte de VMware Cloud Foundation, también queda expuesto, aunque sin workaround que elimine el riesgo por completo, según SecurityWeek. Dos firmas de seguridad reportaron intentos de explotación contra sus honeypots, uno de ellos con un exploit mal construido que no llegó a ejecutarse, de acuerdo con SQ Magazine; ese medio advierte que los registros de honeypots muestran sondeos, no una brecha confirmada contra un sistema en producción. Costa Rica alberga centros de desarrollo de empresas como IBM e Intel y decenas de startups fintech que corren backends en Node.js, por lo que la ventana de parcheo del 10 de noviembre les aplica igual que a cualquier operación federal estadounidense, aunque no hay reportes de explotación contra infraestructura costarricense al cierre de esta edición.
cat /feed/npmcadenadesuministro.md
El empaquetador de Node.js no ha recibido la versión corregida de tar pese a que la vulnerabilidad, con una puntuación CVSS de 9.2, permite provocar una denegación de servicio mediante archivos comprimidos maliciosos.
> La biblioteca tar que distribuye npm en su versión 10.9.8 -incluida de forma predeterminada en Node.js 22.23.1- continúa expuesta a la falla CVE-2026-59873, una vulnerabilidad de denegación de servicio por falta de límites en el tamaño de datos descomprimidos o en el número de entradas de un archivo, de acuerdo con un reporte abierto en el repositorio de npm en GitHub. La corrección está disponible desde julio en tar 7.5.19, con un puntaje CVSS 4.0 de 9.2, crítico, pero esa versión de npm no la incorpora.
> El caso expone una brecha recurrente en el ecosistema de JavaScript: cuando una dependencia interna de una herramienta ya empaquetada -como tar dentro de npm- recibe un parche, ese parche no siempre se retrotrae (backport) a las versiones de npm que todavía viajan dentro de releases de Node.js vigentes, lo que deja a los equipos sin una ruta de actualización automática. Una vulnerabilidad hermana, CVE-2026-59874, fue corregida en tar 7.5.18 y afecta además a distribuciones de Linux que no han aplicado el parche, según Tenable.
> Los mantenedores de npm no han anunciado una fecha para publicar una versión de Node 22.x con la dependencia corregida. Equipos de desarrollo costarricenses que usan Node 22 LTS en producción -una versión común en bancos y proveedores de servicios que exigen soporte de largo plazo- deberían fijar manualmente la versión de tar en sus proyectos mientras tanto; no hay reportes de explotación activa de esta falla específica al cierre de esta edición.
Cloudflare confirmó a comienzos de octubre que contrató a todo el equipo de Deno, la empresa detrás del runtime de JavaScript y TypeScript creado por Ryan Dahl, también autor original de Node.js, según reportó daily.dev. La compañía se comprometió a mantener el proyecto con lanzamientos mensuales que incluyan corrección de errores y parches de seguridad durante un año a partir del anuncio, después del cual el desarrollo del runtime como proyecto independiente terminaría, de acuerdo con una carta publicada por el propio equipo de Deno y recogida por Nathan Rech en Substack. La noticia llega apenas unos meses después de que Deno recibiera elogios por su enfoque en seguridad por defecto -permisos explícitos para acceso a archivos, red y entorno- frente a Node.js, y mientras Bun -otro runtime competidor, hoy bajo control de Anthropic- avanza en una reescritura parcial en Rust. El plazo de un año fija una fecha concreta para que empresas y proyectos que dependen de Deno decidan si migran a otro runtime o adoptan la versión que Cloudflare integre a su propia infraestructura de Workers. No está claro todavía si Cloudflare mantendrá el nombre y la gobernanza abierta de Deno o lo absorberá como una capa interna de Workers; la compañía no ha respondido preguntas públicas sobre ese punto. El efecto directo sobre Costa Rica es marginal: no hay cifras públicas de adopción de Deno entre desarrolladoras ticas, que según comunidades locales de JavaScript siguen usando mayoritariamente Node.js, aunque cualquier equipo local que dependa de Deno en producción enfrenta ahora el mismo plazo de un año.
La encuesta de desarrolladores 2026 de Stack Overflow, publicada el 6 de octubre con más de 30.000 respuestas de 169 países, ubicó a JavaScript como el lenguaje más usado por duodécimo año consecutivo, con 62% de menciones, seguido de cerca por SQL, HTML/CSS y Python, los tres alrededor del 58%, según el blog oficial de la compañía. En bases de datos, PostgreSQL se consolidó como la opción dominante con 57,8% de uso en el último año, por delante de SQLite y MySQL. El dato convive con una lectura más incómoda sobre el oficio: 45,1% de los encuestados se describió como conforme ("complacent") con su trabajo actual, 32,6% como insatisfecho y solo 22,3% como contento, de acuerdo con la misma encuesta. Sobre herramientas de inteligencia artificial, 66% dijo usar asistentes de código o agentes, pero apenas 6,6% confiaría una decisión importante a su criterio, y 78,7% consideró relevante que la herramienta cite sus fuentes, según recogió IT Brief. La encuesta no desagrega cifras específicas para Costa Rica ni Centroamérica, por lo que no hay forma de comparar directamente estos porcentajes con el mercado laboral tico; el dato más cercano sigue siendo el dominio de JavaScript y TypeScript que reportan las plazas de desarrollo en las zonas francas del país, coincidente con la tendencia global que confirma este sondeo.
— El sondeo anual, con más de 30.000 respuestas de 169 países, confirma la persistencia de JavaScript y PostgreSQL en la caja de herramientas de la mayoría de desarrolladores.
La rama 1.34 de Kubernetes alcanzó su fin de vida el 27 de octubre de 2026, según el calendario oficial de versiones del proyecto, y entra en una fase en la que solo recibirá parches para vulnerabilidades críticas, no mantenimiento rutinario. El último parche ordinario, 1.34.12, salió el 15 de setiembre; un segundo parche, 1.34.13, estaba previsto para mediados de octubre. La información proviene únicamente de la documentación oficial de kubernetes.io, sin cobertura periodística adicional sobre este fin de ciclo al cierre de esta edición. El ciclo de soporte de Kubernetes cubre poco más de un año por versión menor, un ritmo que obliga a los equipos de plataforma a actualizar con frecuencia o asumir el riesgo de operar clústeres sin parches de seguridad activos. Esa cadencia genera quejas recurrentes de equipos de infraestructura más pequeños en foros de la comunidad, que la consideran demasiado corta frente a los ciclos de otras piezas de infraestructura crítica. No hay datos públicos sobre cuántas empresas costarricenses operan clústeres de Kubernetes en esa versión específica, pero el fin de soporte aplica igual a cualquier operación local -bancos, zonas francas o startups- que todavía no haya migrado a la rama 1.35 o 1.36, actualmente soportadas.
Los equipos de desarrollo que usan Node.js llegan a noviembre con dos frentes de parcheo abiertos -Node2Shell, ya bajo explotación activa según CISA, y la falla sin corregir en la versión de tar que empaqueta npm 10.9.8- mientras el ecosistema de runtimes de JavaScript atraviesa un reacomodo con la absorción del equipo de Deno por Cloudflare. La fotografía de fondo, según la encuesta 2026 de Stack Overflow, sigue mostrando a JavaScript como el lenguaje dominante y a Kubernetes como la pieza de infraestructura que exige actualizaciones constantes -la rama 1.34 ya llegó a su fin de vida esta semana. Ninguno de estos hilos tiene fecha de cierre definida para los equipos que todavía no actualizaron.