Los parches de Node.js del 11 de noviembre caen un día después del fin de soporte de .NET 8 y 9 y del plazo de CISA sobre Node2Shell, mientras PostgreSQL 19 avanza hacia su lanzamiento y GitHub Copilot supera los 15 millones de usuarios.
El aviso oficial de Node.js para el 11 de noviembre cae un día después de que venzan el plazo de CISA sobre Node2Shell y el fin de soporte de .NET 8 y 9, tres fechas que antes estaban dispersas en el calendario.
El equipo de seguridad de Node.js confirmó en su aviso oficial que el 11 de noviembre publicará parches de severidad alta para las líneas 22.x, 24.x y 26.x, sin revelar aún los identificadores CVE, según la propia página de avisos de nodejs.org. La fecha llega un día después de que venza, el 10 de noviembre, el plazo que la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) fijó para que las agencias federales corrijan Node2Shell (CVE-2026-111497), y el mismo día en que Microsoft deja de dar soporte a .NET 8 y 9, según confirmó la propia compañía en su blog oficial. Las tres fechas, antes dispersas en el calendario de noviembre, quedan ahora separadas por apenas 24 horas, lo que deja a los equipos de DevOps una sola ventana para atender vulnerabilidades activas en Node.js y para completar, si no lo han hecho, la migración fuera de .NET 8 y 9 antes de perder los parches de seguridad, de acuerdo con InfoWorld. Costa Rica no tiene aún una alerta propia: el CSIRT-CR no ha emitido comunicado sobre ninguno de los tres frentes al cierre de esta edición, aunque el país concentra centros de desarrollo de multinacionales en Heredia y Belén que corren Node.js y .NET en producción. Lo que todavía no se sabe es el contenido exacto de los parches de Node.js del 11 de noviembre: el proyecto, siguiendo su práctica habitual, no confirmará los CVE hasta el día del lanzamiento.
El grupo de desarrollo de PostgreSQL confirmó en el anuncio oficial de la primera candidata a lanzamiento (RC1) de la versión 19 que, desde la beta 4, corrigió fallas en el comando REPACK CONCURRENTLY, en la herramienta pg_plan_advice, en la importación de estadísticas de postgres_fdw y en COPY (consulta) TO ... FORMAT JSON, según postgresql.org. La segunda candidata (RC2) está prevista para el 12 de noviembre, junto con el ciclo trimestral de parches menores, y la disponibilidad general para el 19 de noviembre si no aparece un problema que obligue a una tercera candidata. Una revisión técnica de la RC1 publicada por el sitio especializado Warp2Search advierte, sin embargo, que varios cambios de comportamiento por defecto no figuran con el mismo peso en las notas oficiales: la compilación JIT queda desactivada de fábrica, la compresión de TOAST pasa a LZ4 y se elimina el soporte de autenticación RADIUS, cambios que Warp2Search recomienda probar antes de actualizar porque pueden alterar el rendimiento de cargas existentes sin que la aplicación falle de forma visible. El sitio agrega que ciertos índices btree_gist sobre columnas inet o cidr pueden bloquear una actualización limpia con pg_upgrade, un detalle que no aparece en el anuncio oficial de postgresql.org. PostgreSQL es la base de datos relacional de código abierto de mayor adopción entre fintechs e instituciones financieras costarricenses que migraron de motores propietarios en los últimos años; esos equipos de DevOps deberán decidir, antes del 19 de noviembre, si prueban estos cambios de comportamiento por defecto en un entorno de prueba o esperan a una versión posterior.
GitHub Copilot superó los 15 millones de usuarios y acumula más de 85 millones de revisiones de código generadas por IA en pull requests, según cifras que Microsoft reportó en su más reciente presentación de resultados trimestrales y que recogió ITWire. La cifra representa un crecimiento de cuatro veces respecto al mismo periodo del año anterior, de acuerdo con el reporte de Thurrott sobre la misma presentación. El salto en usuarios llega mientras GitHub amplía la selección de modelos y los controles de agentes disponibles dentro de Visual Studio Code, un cambio que Microsoft ha promovido como parte de su estrategia para retener desarrolladores dentro de su ecosistema de herramientas frente a editores competidores. Costa Rica concentra un sector de desarrollo de software y outsourcing que adoptó asistentes de código con IA de forma extendida en los últimos dos años, por lo que la cifra de Microsoft es un indicador indirecto, no una medición local, de cuánto ha crecido ese uso entre equipos ticos.
— La herramienta de código con IA de Microsoft acumula además más de 85 millones de revisiones de código en pull requests, un crecimiento de cuatro veces frente al mismo periodo del año anterior.
La Encuesta de Desarrolladores 2026 de Stack Overflow, publicada el 6 de octubre con más de 30.000 respuestas de 169 países, ubica a JavaScript como el lenguaje más usado por duodécimo año consecutivo, con 62% de menciones, seguido de SQL con 58,4%, HTML/CSS con 58,2% y Python con 58%, según el blog oficial de Stack Overflow. PostgreSQL es la base de datos más usada, con 57,8% de menciones, por delante de SQLite (42,1%) y MySQL (35,1%). La encuesta, con un mes de antigüedad, sigue citándose esta semana en discusiones sobre adopción de inteligencia artificial en programación: 66% de los desarrolladores dice usar asistentes o agentes de código con IA, pero solo 6,6% confía en sus resultados para decisiones importantes, y 78,7% considera relevante poder atribuir el origen de una respuesta o código generado, de acuerdo con la cobertura de IT Brief Australia sobre el mismo estudio. Un 45,1% de los desarrolladores se describe como conforme, pero no entusiasmado, con su trabajo actual, frente a 32,6% que se dice insatisfecho. Costa Rica no aparece como categoría propia en el desglose por país que publicó Stack Overflow, por lo que no hay cifra local equivalente disponible al cierre de esta edición.
Codex, de OpenAI, y Visual Studio Code, de Microsoft, cumplen ocho días sin un parche público para la falla EMBRACE, que Forever Security reveló el 29 de octubre y que permite que un archivo local dentro de un proyecto abierto en esos editores lea el resto del disco, incluidas llaves SSH y tokens de servicios en la nube, según Help Net Security. Cursor y GitHub Copilot, los otros dos editores señalados en la investigación original, corrigieron la falla el 1 y el 13 de octubre, respectivamente. Algunos investigadores de seguridad consultados por Help Net Security matizan, sin embargo, que la explotación exige que la víctima abra un proyecto con el archivo trampa ya colocado, por lo que el riesgo depende más de los hábitos de revisión de código de cada equipo que de un ataque remoto directo; esa lectura más cautelosa contrasta con la urgencia que Forever Security atribuye al hallazgo. OpenAI y Microsoft no han fijado fecha de parche ni han respondido públicamente sobre el estado de la corrección, según Daily Security Review. Costa Rica alberga equipos de desarrollo de multinacionales como VMware e IBM que usan VS Code como editor estándar; sus áreas de seguridad deberían seguir aplicando las mitigaciones manuales que recomendó Forever Security mientras OpenAI y Microsoft no fijen fecha de parche.
Node.js, .NET y la agencia estadounidense CISA concentran sus plazos de seguridad en una ventana de apenas 24 horas entre el 10 y el 11 de noviembre, mientras PostgreSQL 19 avanza hacia su disponibilidad general del 19 de noviembre con cambios de comportamiento por defecto que una revisión externa pide revisar antes de actualizar. Codex y VS Code, por su parte, llegan a ocho días sin parche para la falla EMBRACE. La jornada también deja una cifra de adopción: GitHub Copilot superó los 15 millones de usuarios según Microsoft, mientras la Encuesta de Desarrolladores 2026 de Stack Overflow muestra que la mayoría de los programadores ya usa asistentes de IA pero desconfía de ellos para decisiones importantes. Ninguno de los plazos de seguridad se resuelve antes del fin de esta semana.