Un aviso oficial para el 11 de noviembre se suma al vencimiento de CISA para Node2Shell, al fin de soporte de .NET 8 y 9 y a la espera de PostgreSQL 19.
La agencia estadounidense CISA exige parchear Node2Shell antes del 10 de noviembre, un día antes de que Node.js publique otra ronda de correcciones de seguridad para sus líneas activas.
El equipo de seguridad de Node.js publicó el 3 de noviembre un aviso que adelanta una nueva ronda de parches para el 11 de noviembre, un día después de que venza el plazo que la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) fijó para que las agencias federales corrijan Node2Shell (CVE-2026-111497). El aviso cubre las líneas 22.x, 24.x y 26.x y marca la severidad máxima como alta, aunque Node.js, siguiendo su práctica habitual, no revela los identificadores CVE hasta el día del lanzamiento. La seguidilla no deja margen de respiro a los equipos de DevOps: el 10 de noviembre vence el plazo de CISA para Node2Shell, la falla de escritura fuera de límites en el decodificador Brotli que BleepingComputer reportó como explotada activamente el 28 de octubre, y un día después llega otra tanda de correcciones cuyo contenido todavía se desconoce. Costa Rica no tiene una alerta propia sobre ninguno de los dos frentes: el CSIRT-CR no ha emitido comunicado al cierre de esta edición. El país concentra centros de desarrollo de multinacionales en Heredia y Belén que corren Node.js en producción y que deberían sumar ambas fechas —10 y 11 de noviembre— a su calendario de parches esta semana.
cat /feed/seguridaddetalletcnico.md
El mismo aviso que corrigió Node2Shell el 21 de octubre resolvió, sin que ningún otro medio lo reportara por separado, tres fallas más que permiten falsificar certificados mediante direcciones IP escritas de forma no estándar.
> El boletín de seguridad que Node.js publicó el 21 de octubre para corregir Node2Shell también cerró otras nueve fallas, tres de ellas ligadas a la validación de certificados por dirección IP: CVE-2026-105483, CVE-2026-106069 y CVE-2026-106072, de severidad alta o media según el propio proyecto. Las tres permiten que tls.checkServerIdentity() acepte un certificado emitido para una IP distinta cuando el atacante presenta esa dirección en un formato no canónico —dígitos en ancho completo, ceros a la izquierda o notación decimal entera— que el validador de Node.js no reconoce pero que el sistema operativo sí resuelve.
> El riesgo práctico es un ataque de intermediario contra servicios que verifican certificados por IP en lugar de por nombre de dominio, un patrón de configuración común en infraestructura interna. Node.js corrigió las tres fallas en las mismas versiones que resolvieron Node2Shell: 22.23.4, 24.22.1 y 26.12.1.
> Esta información proviene únicamente del aviso oficial de Node.js; ningún medio especializado lo detalló por separado al cierre de esta edición. Sin impacto local conocido más allá de lo ya señalado para Node2Shell: cualquier servicio costarricense que valide certificados por IP en Node.js queda cubierto por la misma actualización.
Microsoft confirmó en su blog oficial de .NET, publicado el 29 de junio de 2026, que las versiones 8 y 9 llegan al fin de soporte el 10 de noviembre, fecha que esta semana queda a cinco días de distancia. A partir de ese día la empresa deja de emitir parches de seguridad para ambas versiones, según InfoWorld. El cruce de fechas no es casual: .NET 9 es una versión de soporte estándar (STS) que debía vencer en mayo de 2026 bajo el ciclo tradicional de 18 meses, pero Microsoft extendió ese ciclo a 24 meses y empató su vencimiento con el de .NET 8, una versión de soporte a largo plazo (LTS) lanzada en noviembre de 2023. La firma de soporte extendido HeroDevs llama a esta coincidencia el "doble acantilado" y advierte que deja sin parches el mismo día a dos versiones ampliamente usadas en producción. Microsoft recomienda migrar a .NET 10, la LTS vigente con soporte hasta noviembre de 2028. Costa Rica concentra oficinas de desarrollo en .NET de bancos locales y de firmas como VMware que usan el stack de Microsoft para banca en línea, y que ya deberían tener la migración calendarizada antes del 10 de noviembre.
Una semana después de que Forever Security publicara la investigación EMBRACE el 29 de octubre, ni OpenAI ni Microsoft han corregido la falla que afecta a los navegadores embebidos de Codex y de Visual Studio Code, según Help Net Security. Codex fue reportado a OpenAI el 27 de julio y VS Code a Microsoft el 10 de setiembre, de acuerdo con Let's Data Science; ambos plazos superan ya los tres meses sin una respuesta pública de parche. No todos los investigadores de seguridad consultados por Help Net Security ven el mismo nivel de urgencia: algunos matizan que la explotación exige que la víctima abra un proyecto con el archivo trampa ya colocado, por lo que el riesgo depende más de los hábitos de revisión de código de cada equipo que de un ataque remoto directo. Cursor y GitHub Copilot, los otros dos editores señalados en la investigación original, ya corrigieron la falla el 1 y el 13 de octubre, respectivamente. Costa Rica alberga equipos de desarrollo de multinacionales como VMware e IBM que usan VS Code como editor estándar; sus áreas de seguridad deberían seguir aplicando las mitigaciones manuales que recomendó Forever Security mientras OpenAI y Microsoft no fijen fecha de parche.
El grupo de desarrollo de PostgreSQL mantiene para el 12 de noviembre —siete días a partir de hoy— la fecha de la segunda candidata a lanzamiento (RC2) de la versión 19, según el anuncio oficial de la RC1 publicado el 15 de octubre en postgresql.org. La disponibilidad general sigue prevista para el 19 de noviembre si no aparece un problema que obligue a una tercera candidata. Una revisión técnica de la RC1 publicada por el sitio especializado Warp2Search identifica varios cambios de comportamiento por defecto que los equipos de DevOps deberían probar antes de actualizar: la compilación JIT queda desactivada de fábrica, la compresión de TOAST pasa a LZ4 y el soporte de autenticación RADIUS se elimina. Esta revisión es una fuente secundaria y sus señalamientos no figuran, al cierre de esta edición, en las notas oficiales de la RC1 publicadas por el proyecto. PostgreSQL es la base de datos relacional de código abierto de mayor adopción entre fintechs e instituciones financieras costarricenses que migraron de motores propietarios en los últimos años, por lo que sus equipos de DevOps deberán planear la ventana de prueba de estos cambios antes de la disponibilidad general.
— PostgreSQL 19 llega a la semana de su segunda candidata, con cambios de configuración por defecto que, según una revisión externa, conviene revisar antes de actualizar.
Node.js, .NET y PostgreSQL concentran sus plazos más importantes del año entre el 10 y el 19 de noviembre, la misma semana en que EMBRACE sigue sin parche.
Node2Shell, el fin de soporte de .NET 8 y 9, la nueva tanda de parches de Node.js del 11 de noviembre y la recta final de PostgreSQL 19 concentran la agenda de quienes desarrollan software esta semana, mientras Codex y VS Code siguen sin corrección para la falla EMBRACE un mes después de su reporte inicial.