Quedan tres días para que venzan a la vez el plazo de CISA sobre Node2Shell y el fin de soporte de .NET 8 y 9, PostgreSQL confirma su segunda candidata para el 12, y Codex y VS Code cumplen nueve días sin parche para la falla EMBRACE.
El 10 de noviembre vencen a la vez el plazo de CISA para Node2Shell y el fin de soporte de .NET 8 y 9, un día antes de que Node.js publique otra tanda de parches cuyo contenido todavía no se conoce.
Quedan tres días para el 10 de noviembre, fecha en la que la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) exige a las agencias federales corregir Node2Shell (CVE-2026-111497) y en la que Microsoft deja de dar soporte y parches de seguridad a .NET 8 y 9, según confirmaron la propia CISA y el blog oficial de .NET. Un día después, el 11 de noviembre, Node.js publicará otra ronda de parches de severidad alta para las líneas 22.x, 24.x y 26.x, sin que el proyecto haya revelado todavía los identificadores CVE, de acuerdo con su página oficial de avisos. La ventana de 24 horas entre ambos vencimientos, detectada hace dos días, se mantiene sin cambios: los equipos de DevOps que no hayan migrado fuera de .NET 8 o 9, o que corran versiones de Node.js vulnerables a Node2Shell, pierden a la vez el respaldo de parches de un proveedor y quedan expuestos a una falla que CISA ya documentó como explotada activamente, según BleepingComputer. El CSIRT-CR no ha emitido una alerta propia sobre ninguno de los dos frentes al cierre de esta edición, pese a que Costa Rica concentra centros de desarrollo de multinacionales en Heredia y Belén que corren ambos stacks en producción. Lo que sigue sin saberse es el contenido exacto de los parches de Node.js del 11 de noviembre: el proyecto, siguiendo su práctica habitual, no confirmará los CVE hasta el día del lanzamiento.
El equipo de lanzamiento de PostgreSQL confirmó, en un mensaje publicado en la lista de correo oficial del proyecto, que la segunda candidata a lanzamiento (RC2) de la versión 19 saldrá el 12 de noviembre, el mismo día del ciclo trimestral de parches menores, porque el volumen de correcciones incorporadas a las ramas de mantenimiento desde la RC1 del 15 de octubre justificaba una ronda adicional de pruebas antes de declarar la versión lista. La disponibilidad general se mantiene prevista para el 19 de noviembre si no aparece un problema que obligue a una tercera candidata, según el mismo anuncio. Una revisión técnica de la RC1 publicada por el sitio especializado Warp2Search, citada ya en esta edición, advirtió que varios cambios de comportamiento por defecto —la compilación JIT desactivada de fábrica, la compresión de TOAST movida a LZ4 y la eliminación del soporte de autenticación RADIUS— no figuran con el mismo peso en las notas oficiales, por lo que recomienda probarlos antes de actualizar. La guía de actualización publicada por BuildMVPFast coincide en señalar el 12 de noviembre como fecha crítica, ya que ese mismo día PostgreSQL 14 llega a su fin de vida. PostgreSQL es la base de datos relacional de código abierto de mayor adopción entre fintechs e instituciones financieras costarricenses que migraron de motores propietarios en los últimos años; esos equipos de DevOps tienen ahora una fecha fija —el 12 de noviembre— para empezar a probar la RC2 antes de la disponibilidad general.
Codex, de OpenAI, y Visual Studio Code, de Microsoft, cumplen nueve días sin un parche público para la falla EMBRACE, revelada el 29 de octubre por Forever Security, que permite que un archivo trampa dentro de un proyecto abierto en esos editores lea el resto del disco, incluidas llaves SSH y tokens de servicios en la nube, según Help Net Security. Ninguna de las dos empresas ha fijado fecha de parche ni ha respondido públicamente sobre el estado de la corrección, de acuerdo con Daily Security Review. No todos los investigadores de seguridad leen el hallazgo con la misma alarma que Forever Security. Varios de los consultados por Help Net Security matizan que la explotación exige que la víctima abra, de entrada, un proyecto que ya contiene el archivo trampa colocado por un atacante, por lo que el riesgo depende más de los hábitos de revisión de código de cada equipo —abrir repositorios de origen desconocido sin revisarlos antes— que de un ataque remoto directo contra cualquier usuario de Codex o VS Code. Esa lectura más cautelosa contrasta con el marco de Forever Security, que describe la falla como una que "niega el principio de menor privilegio" en los tres editores afectados, según Let's Data Science. Cursor y GitHub Copilot, los otros dos editores señalados en la investigación original, corrigieron la falla el 1 y el 13 de octubre, respectivamente. Costa Rica alberga equipos de desarrollo de multinacionales como VMware e IBM que usan VS Code como editor estándar; sus áreas de seguridad deberían seguir aplicando las mitigaciones manuales que recomendó Forever Security mientras OpenAI y Microsoft no fijen fecha de parche.
— OpenAI y Microsoft siguen sin fecha de corrección mientras algunos investigadores de seguridad matizan la urgencia que le atribuyó Forever Security, la firma que descubrió la falla.
El ingeniero de Stack Overflow Daniel Lockyer publicó el 7 de agosto un gráfico con datos de la propia plataforma que muestra una caída de las preguntas nuevas publicadas por mes de un pico de aproximadamente 207.000 en 2014 a 1.442 en julio de 2026, una baja de 99%, según recogió el sitio especializado PPC Land. Lockyer había señalado además, en enero, que el tráfico del sitio es ya tan bajo que su infraestructura podría correr en un servidor de 5 dólares al mes. Otras estimaciones que circulan sobre la magnitud de la caída no coinciden entre sí ni provienen de datos consolidados de la empresa: algunos blogs calculan un descenso de 52% desde 2023 y hablan de un quinto trimestre consecutivo de baja de tráfico, mientras otros hablan de hasta 90% desde el pico de 2020; ninguna de esas dos cifras tiene respaldo de un reporte oficial de Stack Overflow o de su propietaria, Prosus, por lo que conviene tratarlas como estimaciones no verificadas. La explicación más repetida, aunque tampoco confirmada por la empresa, es que programadores y equipos reemplazaron el foro de preguntas y respuestas por asistentes de IA generativa, el mismo giro que documentó ayer la Encuesta de Desarrolladores 2026 de Stack Overflow al medir que 66% de los programadores ya usa esas herramientas. Ni Stack Overflow ni Prosus han publicado un comunicado sobre el futuro del sitio ni sobre si planean cambios de infraestructura adicionales a los que ya mencionó Lockyer. El efecto sobre los programadores costarricenses es difícil de medir con datos públicos propios, pero el giro hacia asistentes de IA generativa que ya reportaron ayer los programadores encuestados por Stack Overflow se observa también en el día a día de los equipos de desarrollo y outsourcing que operan en las zonas francas del país.
El 10 de noviembre sigue siendo la fecha a vigilar: ese día vencen a la vez el plazo de CISA sobre Node2Shell y el fin de soporte de .NET 8 y 9, un día antes de que Node.js publique una nueva tanda de parches de severidad alta. PostgreSQL, mientras tanto, fijó el 12 de noviembre para su segunda candidata de lanzamiento, con la versión 19 todavía en camino a su disponibilidad general del 19. Codex y VS Code acumulan ya nueve días sin parche para la falla EMBRACE, aunque no todos los investigadores de seguridad consultados comparten la urgencia con la que Forever Security describió el hallazgo. La semana cierra además con una cifra que resume un cambio de fondo en cómo se programa: las preguntas nuevas en Stack Overflow cayeron a 1.442 al mes, frente a un pico de 207.000 en 2014.