Una vulnerabilidad activa en Node.js, el fin de soporte de dos versiones de .NET y la recta final de PostgreSQL 19 convergen en la misma semana de noviembre.
La falla, ya con prueba de concepto pública, afecta a Node.js 22, 24 y 26 y corre el riesgo de ejecución remota de código en servidores Express.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) sumó el 27 de octubre la vulnerabilidad Node2Shell (CVE-2026-111497) a su catálogo de fallas explotadas conocidas y fijó el 10 de noviembre como plazo para que las agencias civiles federales la parcheen, según BleepingComputer. El fallo es una escritura fuera de límites en el decodificador Brotli incluido en Node.js; el proyecto lo corrigió el 21 de octubre en las versiones 22.23.4, 24.22.1 y 26.12.1. La exposición real es mayor que la de un parche de rutina: Express 5 y body-parser 2 descomprimen automáticamente los cuerpos de solicitud enviados con la cabecera Content-Encoding: br, por lo que cualquier cliente puede activar la falla sin autenticación, según el análisis de Contrast Security. La firma de investigación Theori confirmó que ya existe una prueba de concepto pública capaz de lograr ejecución remota de código. Las líneas sin soporte de Node.js —20.x, 23.x y 25.x— no recibirán parche y deben migrarse a una versión activa. El plazo de CISA solo obliga a agencias federales estadounidenses, pero la ventana de explotación ya está abierta para cualquier servidor expuesto. Costa Rica no registra una alerta propia: el CSIRT-CR no ha emitido comunicado sobre Node2Shell al cierre de esta edición, aunque el país concentra centros de desarrollo de multinacionales —Intel y varias firmas de outsourcing en Belén y Heredia— que corren aplicaciones Node.js en producción y deberían verificar su versión esta semana.
La firma Forever Security publicó el 29 de octubre la investigación EMBRACE, que demuestra cómo el navegador embebido de cinco herramientas de código con IA —Cursor, GitHub Copilot, OpenAI Codex, Visual Studio Code y Claude Desktop— puede ser forzado a exponer el sistema que lo rodea, según Help Net Security. Codex fue reportado a OpenAI el 27 de julio y VS Code a Microsoft el 10 de setiembre; ninguno de los dos había corregido la falla cuando se hizo pública. El impacto varía por herramienta: en Cursor el ataque llega a ejecutar código arbitrario, mientras que en Codex y VS Code un solo archivo local manipulado dentro de un proyecto puede leer el resto del disco, incluidas llaves SSH y tokens de servicios en la nube, de acuerdo con Daily Security Review. Cursor corrigió el 1 de octubre y GitHub arregló Copilot el 13 de octubre en su versión 1.1.29 sin haber recibido el reporte directamente. Algunos investigadores de seguridad consultados por Help Net Security matizan, sin embargo, que la explotación exige que la víctima abra un proyecto con el archivo trampa ya colocado, por lo que el riesgo depende más de los hábitos de revisión de cada equipo que de un ataque remoto puro. OpenAI y Microsoft no han fijado fecha de parche. Forever Security recomienda, mientras tanto, no abrir proyectos de terceros sin revisar en Codex ni en VS Code. Costa Rica no figura en el reporte original, pero el país alberga equipos de desarrollo de multinacionales como VMware e IBM que usan VS Code como editor estándar, por lo que sus áreas de seguridad deberían aplicar mitigaciones manuales hasta que exista parche oficial.
Microsoft confirma en su blog oficial de .NET que las versiones 8 y 9 llegan al fin de soporte el 10 de noviembre, y que una próxima actualización de servicio de Visual Studio 2022 comenzará a marcar los componentes de ambas versiones como fuera de soporte directamente dentro del IDE, según InfoWorld. A partir de esa fecha, Microsoft deja de emitir parches de seguridad para .NET 8 y .NET 9. .NET 9, lanzado el 12 de noviembre de 2024 como versión de soporte estándar (STS), debía vencer en mayo de 2026 bajo el ciclo tradicional de 18 meses; Microsoft extendió ese ciclo a 24 meses, lo que empató su fecha de vencimiento con la de .NET 8, una versión de soporte a largo plazo (LTS) lanzada en noviembre de 2023. El resultado, que la firma de soporte extendido Herodevs llama el "doble acantilado", deja sin parches el mismo día a dos versiones ampliamente usadas en producción. Las aplicaciones existentes seguirán funcionando, pero sin corrección de vulnerabilidades nuevas. Microsoft recomienda migrar a .NET 10, la LTS vigente, con soporte hasta noviembre de 2028. Costa Rica concentra oficinas de desarrollo en .NET de bancos locales y de firmas como VMware que usan el stack de Microsoft para banca en línea; esas operaciones deberán calendarizar la migración antes del 10 de noviembre o asumir el riesgo de ejecutar versiones sin parche.
El grupo global de desarrollo de PostgreSQL confirma que publicará una segunda versión candidata (RC 2) el 12 de noviembre, el mismo día del ciclo trimestral de actualizaciones menores del proyecto, según el anuncio oficial de la RC 1 del 15 de octubre en postgresql.org. La RC 2 incorpora las correcciones de ese ciclo de parches antes de que la versión 19 llegue a disponibilidad general, prevista para el 19 de noviembre si no surge un problema que obligue a una tercera candidata. Fusionar el lote trimestral de parches dentro de las propias candidatas de una versión mayor no es la práctica habitual del proyecto, lo que explica por qué la RC 2 llega casi un mes después de la RC 1. PostgreSQL es la base de datos relacional de código abierto de mayor adopción entre fintechs e instituciones financieras costarricenses que migraron de motores propietarios en los últimos años, por lo que sus equipos de DevOps deberán planear la ventana de actualización en cuanto se confirme la disponibilidad general. Lo que falta por ver es si la RC 2 cierra el ciclo o si aparece un tercer candidato que retrase la fecha del 19 de noviembre, algo que el propio calendario del proyecto deja abierto.
La campaña Mini Shai-Hulud publicó más de 600 paquetes maliciosos de npm en mayo de 2026, según TechRadar, y ataques posteriores comprometieron 144 paquetes del ecosistema Mastra en junio tras una campaña de phishing contra una cuenta de mantenedor, además de al menos 57 paquetes vinculados al archivo binding.gyp con 286 versiones maliciosas identificadas, de acuerdo con RH-ISAC. El patrón se repite en cada ola: una credencial de publicación se roba y la versión maliciosa sale antes de que alguien lo note. La superficie de ataque es grande porque unos pocos paquetes concentran miles de millones de descargas semanales; BleepingComputer documentó una ola previa en la que paquetes con más de 2.000 millones de descargas semanales combinadas fueron secuestrados de una sola vez. La firma de seguridad en la nube Aviatrix matiza, sin embargo, que buena parte de estos incidentes se detecta y revierte en horas gracias al monitoreo automatizado de npm y GitHub, por lo que el impacto real en producción suele ser menor al número total de paquetes publicados. Las recomendaciones estándar —fijar versiones exactas, usar archivos de bloqueo y activar la procedencia de paquetes de npm— siguen sin adopción generalizada. Costa Rica concentra un sector de outsourcing de software que mantiene pipelines de integración continua conectados directamente a npm para clientes en Estados Unidos, una práctica que los expone al mismo patrón de ataque si no verifican la procedencia de cada paquete antes de desplegar.
Node2Shell, el fin de soporte de .NET 8 y 9, la recta final de PostgreSQL 19 y dos editores de código con IA todavía sin parche marcan la primera semana de noviembre para quienes desarrollan software. Ninguno de los cinco frentes se resuelve antes del 10 de noviembre, la fecha que concentra el mayor número de vencimientos del mes.