DHH abre tres solicitudes que suman once colectores de uso para asistentes de código al panel de Omarchy, con observaciones de seguridad sin resolver; Canonical extiende a los kernels linux-gke, linux-fips y Raspberry Pi el mismo lote de más de 120 CVE que reparte desde el lunes; OpenSSL, libXpm y GStreamer reciben parches menores de denegación de servicio; un administrador documenta tres fallas distintas en los comandos update, restart y debug del propio sistema; y Omarchy corrige en horas un error de luz nocturna y un choque de Sunshine.
David Heinemeier Hansson abrió este viernes tres solicitudes que agregan once colectores de uso -de Cursor a DeepSeek- al panel de agentes de Omarchy, con observaciones de seguridad y de fiabilidad todavía sin resolver.
El fundador de Omarchy, David Heinemeier Hansson, abrió este viernes 2 de octubre de 2026 tres solicitudes de incorporación de cambios en el repositorio omacom/omarchy en GitHub, ninguna fusionada al cierre de esta edición. La solicitud #14040, con 14 commits, agrega colectores de uso para Cursor, OpenCode, GitHub Copilot y Muse, el asistente de código de Meta; la solicitud #14039, con 19 commits, suma otros siete -Hermes, Antigravity de Google, Z.ai GLM, Ollama Cloud, MiniMax, OpenRouter y DeepSeek-; y la solicitud #14049 reescribe, con 27 commits adicionales, la forma en que el panel cuenta el uso de Codex y Claude, para corregir un conteo de tokens que en una máquina de prueba quedaba un 35% por debajo del real, según la propia solicitud. La revisión automatizada del bot greptile-apps encontró fallas que las tres solicitudes comparten: en la #14039, marcó como bloqueante que los archivos de caché de uso quedan legibles por cualquier usuario del sistema, lo que puede exponer cuánto gasta una persona en cada asistente de IA, además de límites de cuota que persisten vencidos durante una caída del servicio y totales parciales si la consulta a la base de datos de Hermes falla a medio camino; en la #14040, señaló que los límites viejos de Muse pueden reaparecer tras un cambio de plan y que los totales semanales de Cursor pueden no coincidir después de medianoche; y en la #14049, calificó de prioridad 1 que las cuentas de Codex con credenciales guardadas de forma implícita en el gestor de llaves del sistema, sin configuración explícita, pueden quedar marcadas para siempre como "Waiting for auth", según las tres revisiones. Ninguna de las tres solicitudes tenía mantenedor asignado ni las observaciones de greptile-apps resueltas al cierre de esta edición, según el propio repositorio, y la información proviene únicamente de esa fuente, sin confirmación cruzada de otro medio especializado. Costa Rica no tiene cifras públicas de desarrolladores que usen Omarchy con herramientas como Cursor, Copilot u OpenRouter, pero cualquier persona tica que dependa del panel de agentes para controlar su gasto en estas herramientas debería esperar a que se corrija el problema de los archivos de caché legibles por cualquier usuario antes de confiar en el panel en una máquina compartida.
El usuario aimonkeymind abrió este viernes 2 de octubre de 2026 tres reportes en el repositorio omacom/omarchy en GitHub. El reporte #14013 documenta que ejecutar omarchy update puede dejar inutilizable el escritorio Quickshell por el resto de la sesión -sin barra superior, sin menús ni atajos de teclado, aunque Hyprland sigue sano- porque el proceso nuevo intenta arrancar antes de que el anterior libere por completo su candado de instancia única, y el registro del sistema muestra el mensaje "An instance of this configuration is already running" sin que el supervisor omarchy-launch-shell reciba aviso del fallo ni reintente, según el propio reporte, que atribuye el problema a un recorte de errores (|| true) en el script de actualización. El reporte #14012 documenta que el comando omarchy restart shell reporta un código de fallo incluso cuando el escritorio arranca con éxito, porque la verificación de que el servicio está listo intenta apenas 20 veces con una décima de segundo entre cada una -unos dos segundos-, mientras un arranque en frío necesita de cinco a seis segundos para cargar configuración, descubrir complementos y registrar el agente de polkit, de acuerdo con la misma fuente. El reporte #14014 documenta que omarchy debug aparece listado en omarchy --help pero responde "Unknown Omarchy command" al ejecutarlo, porque el binario quedó empaquetado en /usr/bin en lugar de /usr/share/omarchy/bin, la carpeta donde el sistema busca los demás subcomandos, según el propio reporte. El mismo viernes, el colaborador AnPod abrió dos solicitudes que atienden directamente dos de los tres reportes: la #14021 alarga la ventana de espera del reinicio del escritorio para que arranques en frío de hasta seis segundos no se reporten como fallidos, y la #14022 hace que el sistema busque omarchy-debug también en el PATH cuando no aparece en la carpeta esperada, según las propias solicitudes. El reporte #14013, sobre la actualización que deja el escritorio muerto, no tenía al cierre de esta edición una solicitud de corrección que lo referenciara de forma explícita. Ninguno de los tres reportes ni las dos solicitudes vinculadas tenían mantenedor asignado al cierre de esta edición, según el propio repositorio. Costa Rica no tiene cifras públicas de administradores que mantengan equipos con Omarchy para terceros, pero cualquier persona tica que note el escritorio congelado tras una actualización debería ejecutar omarchy restart shell a mano -sin fiarse del código de salida- en lugar de reiniciar el equipo completo.
Canonical publicó, entre la noche del jueves 1 y la mañana del viernes 2 de octubre de 2026, cuatro avisos de seguridad adicionales que reparten en kernels distintos el mismo lote de fallas que esta sección viene documentando toda la semana, según el listado oficial en ubuntu.com/security/notices. El aviso USN-8816-4 corrige más de 120 CVE en linux-gke, el kernel para Google Container Engine en Ubuntu 26.04 LTS, y sube el paquete a la versión 7.0.0-1007.8; el aviso USN-8818-6 corrige 20 CVE en linux-fips, el kernel certificado para criptografía federal estadounidense en Ubuntu 22.04 LTS, con la versión 5.15.0-194.204+fips1; el aviso USN-8851-2 corrige tres CVE en el kernel para Raspberry Pi de Ubuntu 18.04 LTS; y el aviso USN-8864-1 corrige las mismas tres fallas en el kernel genérico de Ubuntu 16.04 y 14.04 LTS, de acuerdo con los cuatro avisos. Los cuatro avisos repiten, entre las fallas corregidas, CVE-2025-10263 -la invalidación prematura de la memoria caché de traducción (TLB) en procesadores ARM que esta sección reportó el martes en linux-nvidia, el miércoles en linux-bluefield y linux-nvidia-tegra-5.15, y el jueves en linux-oracle, linux-aws y linux-nvidia-tegra- y las fallas CVE-2026-53131, CVE-2026-53221 y CVE-2025-38724, en NFS, IPv6 y Netfilter, que Canonical ya había corregido el miércoles en linux-bluefield y el kernel genérico de 20.04 y 18.04. Con los avisos de hoy, la misma falla de TLB lleva seis días consecutivos reapareciendo en una variante distinta del kernel de Ubuntu, y las fallas de NFS e IPv6 ya llegaron a versiones que van desde el soporte estándar de 26.04 hasta Ubuntu 14.04, fuera de todo soporte estándar desde 2019. Ninguno de los cuatro avisos reporta explotación activa confirmada, según la misma fuente. Costa Rica no tiene cifras públicas de instituciones que sigan corriendo Ubuntu 16.04 o 14.04, pero cualquier equipo tico en esa situación depende de una extensión de pago Ubuntu Pro para recibir este parche, ya que ambas versiones están fuera del ciclo de soporte estándar de Canonical.
Canonical publicó este jueves 1 y viernes 2 de octubre de 2026 tres avisos de seguridad que corrigen fallas en librerías ajenas al kernel, según el listado oficial en ubuntu.com/security/notices. El aviso USN-8861-1 corrige dos fallas en OpenSSL para Ubuntu 26.04 LTS: CVE-2026-42772, un algoritmo ineficiente en el reensamblado de flujos QUIC que permite a un atacante remoto forzar un consumo excesivo de CPU, y CVE-2026-54873, una falla al limitar la memoria reservada para paquetes QUIC que permite un consumo excesivo de memoria, ambas de denegación de servicio según el propio aviso. El aviso USN-8862-1 corrige CVE-2026-94287 en libXpm, la librería que procesa imágenes en formato XPM, en Ubuntu 26.04, 24.04 y 22.04 LTS: la librería "no manejaba correctamente las imágenes XPM con valores de dimensión cero", lo que un atacante local puede aprovechar con un archivo manipulado para forzar un consumo excesivo de recursos, de acuerdo con la misma fuente. El aviso USN-8863-1 corrige cuatro fallas en los complementos GStreamer Good, usados para reproducir audio y video, en Ubuntu 26.04 hasta 16.04 LTS. La diferencia con el resto de la semana es de magnitud: mientras Canonical reparte más de 120 CVE de kernel por aviso entre variantes de Oracle, AWS, Tegra y Google Container Engine, como reporta esta misma edición más arriba, los tres avisos de hoy corrigen en conjunto siete fallas, ninguna con puntaje CVSS individual publicado ni explotación activa confirmada, y todas clasificadas como denegación de servicio -caídas o consumo de recursos- y no como ejecución remota de código o escalamiento de privilegios, según los propios avisos. Un atacante necesita, en los tres casos, que la víctima abra un archivo manipulado o establezca una conexión QUIC maliciosa; ninguna falla se explota sola. Las tres correcciones llegan por la vía estándar de actualización de paquetes, sin reinicio del equipo completo, según la misma fuente. Costa Rica no tiene cifras públicas de aplicaciones locales que dependan de libXpm o GStreamer Good, pero cualquier usuario tico de Ubuntu con estos paquetes instalados queda cubierto con la próxima actualización automática de seguridad, sin pasos adicionales.
— A diferencia del lote de fallas de kernel que domina la semana, los avisos USN-8861-1, USN-8862-1 y USN-8863-1 corrigen vulnerabilidades de denegación de servicio en librerías de uso diario, ninguna con explotación activa confirmada.
cat /feed/omarchyreaccinrpida.md
El usuario nickolss reportó y corrigió el mismo viernes un fallo de la luz nocturna en equipos de varios usuarios, mientras otro reporte documentó que la aplicación de transmisión Sunshine se cae por un arranque duplicado en cada inicio de sesión.
> El usuario nickolss abrió este viernes 2 de octubre de 2026 el reporte #14037 en el repositorio omacom/omarchy en GitHub, en el que documenta que el interruptor de luz nocturna no hace nada en equipos con más de una sesión activa de Hyprland: el script revisa si el proceso hyprsunset ya corre con el comando pgrep -x hyprsunset, que detecta procesos de cualquier usuario del sistema, así que si la persona A ya tiene su propia luz nocturna encendida, el interruptor de la persona B asume que ya está activa, no la arranca, y falla en silencio al intentar conectarse a un socket que no existe, con el mensaje "Couldn't connect to /run/user/1001/hypr//.hyprsunset.sock", según el propio reporte. El mismo nickolss abrió, también el viernes, la solicitud de incorporación de cambios #14041, que agrega el parámetro -u "$USER" al comando de verificación para que sólo cuente los procesos del usuario activo; la revisión automatizada del bot greptile-apps calificó la corrección de riesgo medio y recomendó usar $(id -u) en lugar de la variable de entorno $USER, que puede quedar vacía o incorrecta, según la propia revisión.
> Por separado, el usuario erick-tejada abrió este viernes el reporte #14048, en el que documenta que la aplicación de transmisión de juegos Sunshine se cae con un error de segmentación en cada inicio de sesión, inmediatamente después de instalarla con el comando omarchy-install-service-sunshine: el script de instalación registra el arranque automático por dos vías a la vez -un servicio systemd de usuario con cinco segundos de espera, y una línea agregada al archivo de autoarranque de Hyprland sin ninguna espera-, así que ambas intentan tomar el mismo codificador de video, el mismo puerto 47990 y el mismo nombre de servicio Avahi al mismo tiempo, y una de las dos instancias se cae al chocar con los recursos que la otra ya tomó, según el propio reporte, que propone eliminar la vía de Hyprland y dejar sólo el servicio systemd.
> Ninguno de los dos casos tenía corrección fusionada ni mantenedor asignado al cierre de esta edición, según el propio repositorio. Costa Rica no tiene cifras públicas de usuarios de Omarchy con equipos compartidos entre varias personas o con Sunshine instalado para transmitir juegos, pero cualquier persona tica en alguna de esas dos situaciones puede aplicar ya el parámetro -u "$USER" a mano, o desactivar una de las dos vías de arranque de Sunshine, mientras las correcciones oficiales siguen sin fusionar.
El ciclo 7.3 del kernel Linux, que había mantenido una cadencia semanal estricta desde finales de agosto, llega al viernes sin la sexta candidata que esta sección esperaba para el fin de semana pasado.
El repositorio torvalds/linux en GitHub, consultado por esta sección la mañana de este viernes 2 de octubre de 2026, sigue mostrando v7.3-rc5, publicada el domingo 27 de setiembre, como la etiqueta más reciente del ciclo, sin que apareciera v7.3-rc6 ni en la lista de etiquetas ni en la de lanzamientos del repositorio al cierre de esta edición. Esta sección había proyectado el jueves, a partir de la cadencia semanal que el ciclo sostuvo entre el 30 de agosto y el 27 de setiembre -rc1, rc2, rc3, rc4 y rc5 cada domingo-, que la sexta candidata debía aparecer alrededor del domingo 4 de octubre; con el viernes ya transcurrido sin noticia pública de Linus Torvalds sobre el estado de esa etiqueta, el margen para sostener esa cadencia exacta se redujo a dos días. Un ciclo de desarrollo del kernel Linux no tiene fecha fija de por sí: Torvalds decide cuándo publicar cada candidata según el volumen y la gravedad de lo que falta por fusionar, y una demora de pocos días entre candidatas no es inusual ni, por sí sola, evidencia de un problema grave. La fecha del lanzamiento estable de la versión 7.3 sigue en disputa entre el 18 y el 25 de octubre, según las fuentes que esta sección ya citó la semana pasada, sin que ninguna fuente consultada hoy permita despejar cuál de las dos prevalece ni si un eventual atraso en rc6 movería esa ventana. Costa Rica no tiene mantenedores identificados en el equipo de desarrollo del kernel, y el efecto de un atraso de días en una candidata de desarrollo sobre los usuarios ticos es, en la práctica, nulo: distribuciones como Ubuntu, que esta misma semana corrigió más de 120 CVE adicionales en kernels basados en ciclos anteriores, como reporta esta edición más arriba, heredarán los cambios del ciclo 7.3 recién cuando lo adopten en una futura versión de soporte extendido.
DHH amplía a once el número de asistentes de IA que el panel de Omarchy mide, Canonical repite más de 120 CVE en cuatro kernels adicionales, y la comunidad documenta tanto fallas nuevas como correcciones resueltas en horas.
El viernes 2 de octubre de 2026 quedó marcado por tres solicitudes que David Heinemeier Hansson abrió en Omarchy para sumar once colectores de uso de agentes de IA -de Cursor y GitHub Copilot a Hermes y DeepSeek- al panel del sistema, con observaciones de seguridad del bot greptile-apps, entre ellas archivos de caché legibles por cualquier usuario, todavía sin resolver al cierre de esta edición. En paralelo, Canonical publicó cuatro avisos más -USN-8816-4, USN-8818-6, USN-8851-2 y USN-8864-1- que extienden a los kernels linux-gke, linux-fips, Raspberry Pi y las versiones 16.04 y 14.04 de Ubuntu el mismo lote de más de 120 CVE que reparte desde el lunes, con la falla de invalidación de TLB CVE-2025-10263 reapareciendo por sexto día consecutivo en una variante distinta; otros tres avisos corrigieron, por separado, fallas menores de denegación de servicio en OpenSSL, libXpm y GStreamer. La comunidad de Omarchy documentó, además, tres reportes del usuario aimonkeymind sobre fallas en los comandos update, restart y debug del propio sistema, dos de ellos ya con solicitud de corrección abierta el mismo día por el colaborador AnPod, y dos casos de reacción rápida: un error de luz nocturna en equipos de varios usuarios que el propio reportero corrigió en horas, y un choque de la aplicación Sunshine por un arranque automático duplicado que generó hasta 196 gigabytes de carga sin control en un reporte relacionado de prueba de velocidad. Esta sección seguirá si las tres solicitudes del panel de agentes resuelven la observación sobre archivos de caché legibles por cualquier usuario, si el reporte #14013 sobre actualizaciones que dejan el escritorio muerto recibe una solicitud de corrección, y si v7.3-rc6 aparece dentro de los próximos días. Costa Rica no reporta impacto local confirmado de ninguno de estos frentes al cierre de esta edición, pero administradores de sistemas, desarrolladores y la comunidad tica de software libre siguen expuestos, en distinta medida, a cada uno.