El panel de red de Omarchy crea perfiles WiFi PEAP sin validar certificado de autoridad y la corrección propuesta el mismo jueves queda marcada como insegura para fusionar; Canonical extiende a los kernels linux-oracle, linux-aws y linux-nvidia-tegra el mismo lote de más de 170 CVE que viene corrigiendo en Ubuntu desde el lunes; el colaborador kvnloo audita con el asistente Muse Spark de Meta el mecanismo de actualización de Omarchy; dos lectores de huellas distintos agotan la pantalla de bloqueo del sistema; y el kernel Linux prepara su sexta candidata sin fecha confirmada.
El usuario WokoFlipper reportó este jueves que el panel de red de Omarchy crea perfiles WiFi empresariales PEAP sin exigir certificado de autoridad, y la corrección propuesta el mismo día quedó señalada como insegura para fusionar.
El usuario WokoFlipper abrió este jueves 1 de octubre de 2026 el reporte #13922 en el repositorio omacom/omarchy en GitHub, en el que documenta que el panel de red de Omarchy crea perfiles de WiFi empresarial con autenticación PEAP y MSCHAPv2 mediante comandos nmcli connection add que omiten el parámetro ca-cert, según el propio reporte. Sin esa validación, un atacante que levante un punto de acceso falso con el mismo nombre de red (SSID) que una red empresarial legítima puede hacerse pasar por el servidor de autenticación y capturar el intercambio de credenciales MSCHAPv2, vulnerable a descifrado fuera de línea, de acuerdo con la misma fuente, que atribuye el hallazgo a una revisión de seguridad hecha por HANCORE-linux sobre una bifurcación del proyecto que comparte el mismo código. El mismo jueves, el colaborador sprajs abrió la solicitud de incorporación de cambios #13947, que exige una ruta de certificado de autoridad y una coincidencia exacta del nombre del servidor de autenticación antes de crear el perfil, validada tanto en la interfaz como en el proceso que ejecuta nmcli, según la propia solicitud. Sin embargo, la revisión automatizada del bot greptile-apps, documentada en la misma solicitud, le asignó una confianza de 3 sobre 5 y concluyó que "no parece segura para fusionar" mientras los intentos que llegan al límite de tiempo no limpien de forma confiable los perfiles creados a medias y el plazo de 25 segundos del envoltorio siga pudiendo cortar conexiones válidas que necesitarían los 30 segundos completos que permite el panel, de acuerdo con la misma revisión. Ni el reporte ni la solicitud estaban cerrados o fusionados al cierre de esta edición, según el propio repositorio, y la información proviene únicamente de esa fuente, sin confirmación cruzada de otro medio especializado. Costa Rica no tiene cifras públicas de empresas que usen Omarchy con redes WiFi empresariales PEAP, pero cualquier administrador tico que haya creado un perfil así desde el panel de Omarchy antes de este jueves debería verificar a mano si exige certificado de autoridad, en lugar de esperar a que la solicitud #13947 se fusione tal como está.
Canonical publicó este miércoles 30 de setiembre de 2026 tres avisos de seguridad que reparten, en kernels adicionales, el mismo lote de fallas que ya había corregido esta semana en otras variantes de Ubuntu, según el listado oficial en ubuntu.com/security/notices consultado por esta sección. El aviso USN-8816-3 corrige más de 120 CVE en linux-oracle-7.0, el kernel para instancias de Oracle Cloud en Ubuntu 24.04 LTS, y sube el paquete a la versión 7.0.0-1012.12~24.04.1; el aviso USN-8817-3 corrige 20 CVE en linux-aws y linux-aws-6.8, para Ubuntu 24.04 y 22.04 LTS, con la versión 6.8.0-1065.68; y el aviso USN-8818-5 corrige 30 CVE en linux-nvidia-tegra y linux-nvidia-tegra-igx, los kernels para los sistemas embebidos Tegra de NVIDIA en Ubuntu 22.04 LTS, con las versiones 5.15.0-1068.70 y 5.15.0-1057.57, de acuerdo con los tres avisos. Los tres avisos repiten, entre las fallas corregidas, CVE-2025-10263: una invalidación prematura de la memoria caché de traducción (TLB) en procesadores ARM que permite a un atacante local escribir en memoria protegida o escalar privilegios, según la propia descripción de Canonical. Esta sección ya había reportado esa misma falla el martes en linux-nvidia de Ubuntu 24.04 y 22.04, y el miércoles en linux-bluefield y linux-nvidia-tegra-5.15 de Ubuntu 20.04; con los avisos de hoy es la cuarta vez en cuatro días que Canonical la backportea a una variante distinta del kernel. Los tres avisos comparten, además, el mismo cambio de ABI que esta sección viene documentando toda la semana: una renumeración de versión que, según el propio texto oficial, obliga a recompilar y reinstalar cualquier módulo de kernel de terceros. Ninguno de los tres avisos reporta explotación activa confirmada ni incluye puntajes CVSS individuales, según la misma fuente. Costa Rica no tiene cifras públicas de empresas que corran cargas de trabajo sobre Oracle Cloud, AWS o hardware Tegra con Ubuntu, pero cualquier equipo tico que administre instancias linux-oracle o linux-aws debería sumar estos dos avisos a la lista de parches pendientes de la semana, con la recompilación de módulos de terceros como paso obligatorio antes del reinicio.
cat /feed/omarchyactualizador.md
Kevin Rajan, con asistencia del asistente Muse Spark de Meta, abrió este jueves cuatro solicitudes que corrigen ataques de enlace simbólico y fallas silenciosas en el mecanismo que actualiza Omarchy, ninguna fusionada al cierre de esta edición.
> El colaborador kvnloo (Kevin Rajan), con asistencia del asistente de código Muse Spark de Meta según los metadatos de los commits, abrió este jueves 1 de octubre de 2026 cuatro solicitudes de incorporación de cambios en el repositorio omacom/omarchy en GitHub. La solicitud #13936 corrige un ataque de enlace simbólico en el archivo de bloqueo del actualizador: un atacante podía plantar un symlink en la ruta del candado para que, al abrirlo en modo de truncado, el proceso de actualización borrara el contenido de un archivo ajeno con los privilegios con que corre el script; la corrección valida que la ruta no sea un symlink antes de abrirla y mueve el candado a un directorio privado por usuario bajo XDG_RUNTIME_DIR, según la propia solicitud. La solicitud #13937 corrige un riesgo similar en el registro de la actualización, que se escribía siempre en la ruta fija /tmp/omarchy-update.log mientras el script corre como root, lo que permitía redirigir todo el registro hacia un archivo arbitrario con un symlink previo, de acuerdo con la misma fuente.
> La solicitud #13938 corrige que omarchy-provision-first-run ocultaba, con el operador || true, cualquier fallo del aprovisionamiento del usuario y marcaba el primer arranque como completo de todas formas, lo que impedía que ese paso se reintentara después de una falla real, según la propia solicitud, que agrega dos pruebas nuevas que fallan con el código original y pasan con la corrección. La solicitud #13939 corrige que omarchy-install-dev-env aceptaba, sin avisar, cualquier nombre de entorno mal escrito y terminaba con código de éxito sin instalar nada, de acuerdo con la misma fuente.
> La revisión automatizada del bot greptile-apps, documentada en cada una de las cuatro solicitudes, les asignó niveles de riesgo muy distintos: 1 sobre 5 para la corrección del candado simbólico, por depender de que XDG_RUNTIME_DIR no sea de escritura pública y por una prueba que borra el directorio de candado real de un usuario en uso; 3 sobre 5 para la corrección del registro, por romper el reenvío de señales al proceso script(1) y borrar el registro de diagnóstico en cada falla; 5 sobre 5, como segura para fusionar, para la corrección del aprovisionamiento silencioso; y 4 sobre 5 para el rechazo de entornos mal escritos, con una sola observación menor sobre una lista de objetivos duplicada en el mensaje de error, según las cuatro revisiones. Ninguna de las cuatro solicitudes tenía mantenedor asignado ni estaba fusionada al cierre de esta edición. Costa Rica no tiene cifras públicas de administradores que corran Omarchy en sistemas de múltiples usuarios, donde un ataque de enlace simbólico al candado de actualización pesaría más, pero cualquier persona tica en esa situación debería esperar a que al menos las solicitudes #13936 y #13937 resuelvan las observaciones críticas antes de confiar en ellas en producción.
El usuario titteerbot abrió este miércoles 30 de setiembre de 2026 el reporte #13906 en el repositorio omacom/omarchy en GitHub, en el que documenta que la pantalla de bloqueo reintenta la autenticación por huella digital cada 250 milisegundos, sin reducir la frecuencia ni poner un límite de intentos, cuando el lector deja de responder: en su equipo, un lector Synaptics Prometheus que se reenumera por USB tras cada reanudación, el demonio fprintd crea objetos D-Bus duplicados sin limpiar los viejos, PAM recibe un error de dispositivo no disponible al intentar reclamar un objeto muerto, y Omarchy vuelve a armar el temporizador sin distinguir ese error de un simple fallo de huella, según el propio reporte, que documenta 36.782 denegaciones de «dispositivo ya reclamado» en un solo arranque, con picos de 219 por minuto durante cinco minutos seguidos. El jueves 1 de octubre, el usuario gfotakis abrió el reporte #13944, con un lector DigitalPersona U.are.U distinto: tras unos tres minutos de escaneo continuo, el guardián térmico de la librería libfprint desactiva el lector, pero la pantalla de bloqueo sigue intentando autenticar 2,4 veces por segundo sin darle tiempo de enfriarse, porque el complemento de bloqueo mantiene la sesión PAM activa durante todo el período en que el equipo permanece bloqueado, según la misma fuente, que registró 54.319 mensajes de error en un solo bloqueo nocturno de unas 8,5 horas, sin que el lector volviera a responder. Los dos reportes, con hardware de dos fabricantes distintos, apuntan a la misma causa de fondo: el complemento no distingue entre un fallo de autenticación -que amerita reintentar- y una falla de hardware -que debería esperar o rendirse-, según proponen ambos reporteros, que piden una espera progresiva o una ventana de escaneo limitada en lugar del reintento fijo. Reiniciar el servicio fprintd restaura la función en ambos casos, confirmaron los dos usuarios, pero exige abrir una terminal desde la propia pantalla de bloqueo o esperar al siguiente reinicio del equipo. Ninguno de los dos reportes tenía corrección fusionada ni mantenedor asignado al cierre de esta edición, según el propio repositorio. Costa Rica no tiene cifras públicas de usuarios de Omarchy con autenticación biométrica activada, pero cualquier persona tica que use un lector de huellas con este sistema y note que la pantalla de bloqueo deja de reconocerla debería reiniciar fprintd manualmente en lugar de asumir que el sensor se dañó.
El usuario db48x abrió este miércoles 30 de setiembre de 2026 el reporte #13900 en el repositorio omacom/omarchy en GitHub, en el que documenta que el atajo Alt+Impr Pant para grabar pantalla no inicia la grabación: el comando que ejecuta ese atajo incluye por error la bandera --stop-recording, que detiene cualquier grabación activa en lugar de arrancar una nueva, aunque el comando omarchy capture screenrecording funciona sin problema al ejecutarlo a mano, según el propio reporte. El mismo miércoles, el usuario CoreSaint abrió el reporte #13904, en el que documenta que, en un equipo con gráficos AMD Radeon, los monitores externos conectados por acople USB-C quedan atascados en una resolución de 0x0 tras reanudar de la suspensión con una configuración de pantallas distinta a la que tenía al suspenderse: el sistema detecta los monitores y lee su información EDID, pero no logra fijar un modo de resolución activo, con errores de «argumento inválido» y múltiples fallas de escritura DPCD reportadas por el firmware de la GPU, de acuerdo con la misma fuente, que confirma que solo un reinicio completo restaura la función de forma temporal. El jueves 1 de octubre, el usuario Coding-Sparrow abrió el reporte #13920, en el que documenta que configurar un tiempo de espera de inactividad superior a unos 24,8 días desborda el temporizador de Qt: la propiedad Timer.interval de Qt es un entero de 32 bits con signo en milisegundos, así que cualquier valor superior a 2.147.483 segundos da la vuelta a un número negativo, Qt lo recorta a 1 milisegundo, y el resultado es una advertencia repetida unas 1.000 veces por segundo que puede llenar el directorio temporal /run/user del usuario y tumbar otras aplicaciones por falta de espacio, según el propio reporte. También este jueves, el usuario heintore abrió el reporte #13927, en el que documenta que, con un monitor NVIDIA por DisplayPort que se desconecta por completo en reposo profundo, el shell de Omarchy se cae con un error fatal de Wayland al reanudar mientras el equipo está bloqueado, aunque el envoltorio del sistema lo reinicia solo, según la misma fuente. Los cuatro reportes no comparten una sola causa, pero sí un patrón que esta sección viene documentando toda la semana en Omarchy: componentes que fallan ante combinaciones de hardware y energía poco comunes, más que ante el uso cotidiano del escritorio. Ninguno tenía corrección fusionada ni mantenedor asignado al cierre de esta edición. Costa Rica no tiene cifras públicas de usuarios de Omarchy con monitores externos por USB-C o tiempos de espera configurados por encima de tres semanas, pero cualquier persona tica en alguna de esas situaciones debería revisar los cuatro reportes antes de asumir que su equipo tiene una falla distinta de la que ya documentó la comunidad.
— Cuatro reportes abiertos entre el miércoles y el jueves documentan monitores externos que no recuperan resolución tras un acople USB-C, un atajo de grabación que detiene en vez de iniciar, y un desbordamiento numérico que puede llenar el disco.
Una solicitud en revisión suma al menú Instalar → Servicio una herramienta de sincronización cifrada de extremo a extremo entre computadoras, con las llaves alojadas en un bucket S3 personal.
El colaborador ferdousbhai abrió este jueves 1 de octubre de 2026 la solicitud de incorporación de cambios #13941 en el repositorio omacom/omarchy en GitHub, que agrega OneCloud al menú Instalar → Servicio y Eliminar → Servicio de Omarchy. OneCloud sincroniza las carpetas Desktop, Documents y Pictures, la configuración de Omarchy, la lista de paquetes instalados y las llaves SSH y GPG entre computadoras, con cifrado de extremo a extremo almacenado en un bucket S3 personal del usuario, según la propia descripción de la solicitud, que suma los comandos omarchy-install-service-onecloud y omarchy-remove-service-onecloud, las entradas de menú correspondientes, una prueba de shell y una entrada nueva en el manual de Omarchy, bajo la sección de aplicaciones y servicios comerciales. La revisión automatizada del bot greptile-apps, documentada en la propia solicitud, señaló dos observaciones antes de fusionarla: el script de desinstalación puede reportar éxito aunque la eliminación del paquete falle, porque no agrega || exit 1 tras el comando de remoción, y la prueba que acompaña la solicitud valida la eliminación del paquete pero no confirma que el servicio se detenga correctamente antes de eliminarse, de acuerdo con la misma revisión. La solicitud contrasta con buena parte de lo que esta sección reportó el resto de esta semana en Omarchy -ataques de enlace simbólico en el actualizador, un panel de WiFi sin validar certificados, un lector de huellas que agota su propio sensor-: es, en términos simples, una incorporación de catálogo rutinaria, del tipo que un proyecto con más de 2.100 reportes abiertos sigue procesando todos los días pese a la carga de trabajo pendiente en seguridad. La solicitud no estaba fusionada al cierre de esta edición, según el propio repositorio, y la información proviene únicamente de esa fuente, sin confirmación cruzada de otro medio especializado. Costa Rica no tiene cifras públicas de usuarios de Omarchy que busquen sincronizar equipos con un servicio comercial como OneCloud, pero cualquier persona tica que ya use esa herramienta podrá instalarla desde el menú del sistema apenas la solicitud se fusione, en lugar de configurarla a mano.
El repositorio torvalds/linux en GitHub, consultado por esta sección la mañana de este jueves 1 de octubre de 2026, muestra que la etiqueta más reciente del ciclo sigue siendo v7.3-rc5, publicada el domingo 27 de setiembre, sin que apareciera todavía v7.3-rc6 al cierre de esta edición. Desde entonces, Linus Torvalds fusionó, el martes 29, tres lotes de correcciones -de la arquitectura ARC, del subsistema de memoria flash (MTD) y del grupo de parches urgentes de gestión de memoria fechado el 27 de setiembre-, y el miércoles 30 un lote de correcciones de relojes en tiempo real (RTC), según el propio historial de cambios. El mensaje de fusión del lote de MTD, «mtd/fixes-for-7.3-rc6», nombra de forma explícita la próxima candidata, lo que confirma que el ciclo sigue camino a una sexta etiqueta. Si el calendario semanal que el ciclo 7.3 sostiene desde el 30 de agosto se mantiene -rc1 el 30 de agosto, rc2 el 6 de setiembre, rc3 el 13, rc4 el 20 y rc5 el 27-, v7.3-rc6 debería aparecer alrededor del domingo 4 de octubre, aunque Torvalds no ha confirmado esa fecha en ningún mensaje público consultado por esta sección. La fecha del lanzamiento estable de la versión 7.3 sigue en disputa entre el 18 y el 25 de octubre, según las fuentes que esta sección ya citó la semana pasada, sin que ninguna fuente consultada hoy permita despejar cuál de las dos prevalece. Costa Rica no tiene mantenedores identificados en el equipo de desarrollo del kernel, pero distribuciones como Ubuntu, que esta misma semana corrigió cientos de fallas en kernels basados en ciclos anteriores, como reportó esta sección en ediciones recientes, heredarán los cambios del ciclo 7.3 recién cuando lo adopten en una futura versión LTS.
— Linus Torvalds no había publicado, hasta la mañana de este jueves, la etiqueta v7.3-rc6, pero el árbol principal ya integra correcciones de relojes en tiempo real y de memoria flash etiquetadas explícitamente para esa candidata.
Canonical reparte el mismo lote de más de 170 CVE en tres kernels adicionales, Omarchy corrige a medias una fuga de credenciales WiFi y audita con IA de Meta su propio actualizador, y dos lectores de huellas distintos agotan la pantalla de bloqueo.
El jueves 1 de octubre de 2026 quedó marcado por tres avisos más de Canonical -USN-8816-3, USN-8817-3 y USN-8818-5- que extienden a los kernels linux-oracle, linux-aws y linux-nvidia-tegra el mismo lote de fallas, con más de 170 CVE combinados, que esta sección viene documentando en Ubuntu desde el lunes, incluida la cuarta repetición en cuatro días de la misma falla de invalidación de TLB en procesadores ARM, CVE-2025-10263. En Omarchy, el usuario WokoFlipper reportó que el panel de WiFi empresarial crea perfiles sin validar certificado de autoridad, y la corrección que un colaborador propuso el mismo día quedó marcada como insegura para fusionar; por separado, Kevin Rajan abrió, con asistencia del asistente Muse Spark de Meta, cuatro solicitudes que corrigen ataques de enlace simbólico y fallas silenciosas en el propio mecanismo de actualización del sistema. La comunidad de Omarchy documentó, además, que dos lectores de huellas de fabricantes distintos agotan la pantalla de bloqueo con reintentos sin pausa -hasta 54.319 errores en un solo bloqueo nocturno-, cuatro regresiones menores de monitores, grabación de pantalla y temporizador, y una incorporación rutinaria del servicio de sincronización OneCloud al menú del sistema. En el kernel, Linus Torvalds no había publicado la sexta candidata del ciclo 7.3 al cierre de esta edición, aunque ya fusionó correcciones de RTC y MTD etiquetadas para esa próxima etiqueta. Esta sección seguirá si Omarchy Core fusiona la validación de certificado para WiFi empresarial, si las cuatro solicitudes de kvnloo resuelven las observaciones críticas de la revisión automatizada, y si v7.3-rc6 aparece dentro de la cadencia semanal que el ciclo sostiene desde finales de agosto. Costa Rica no reporta impacto local confirmado de ninguno de estos frentes al cierre de esta edición, pero administradores de sistemas, desarrolladores y la comunidad tica de software libre siguen expuestos, en distinta medida, a cada uno.