Blog
Perspectivas sobre desarrollo de software, seguridad y tecnología de nuestro equipo.
Node.js corrige 16 CVE: caídas en HTTP/2 y un fallo en HTTPS que filtra claves TLS
Node.js publicó el 11 de noviembre las versiones 22.23.5, 24.22.3 y 26.13.1 con correcciones para 16 CVE. Los más graves permiten que un cliente sin credenciales tire un servidor HTTP/2 o lea la memoria de otras conexiones, claves privadas TLS incluidas. No hay solución alternativa, así que le contamos cómo abordaríamos la actualización.
Git 2.56.1 corrige seis vulnerabilidades, y sus runners de CI lo necesitan más que su portátil
Git 2.56.1 y las versiones con parches para seis ramas anteriores corrigen seis vulnerabilidades de seguridad. La más grave puede ejecutar código de un atacante durante un clonado recursivo. Le explicamos por qué la exposición real está en los pipelines de compilación y las imágenes Docker, y qué parchearíamos primero.
Se acabó el periodo de gracia de la API 36 en Google Play, y los plazos de permisos de 2027 ya están fijados
Desde el 31 de agosto, toda app nueva de Android y toda actualización en Google Play debe apuntar a Android 16 (nivel de API 36), y la prórroga hasta el 1 de noviembre ya ha vencido. Google ha programado además nuevas reglas para contactos, acceso a la red local, ubicación precisa, AppFunctions y descuentos de suscripción para estudiantes a lo largo de 2027. Así planificaríamos nosotros todo esto.
DuckDB 2.0 ya puede ejecutarse como servidor. Cuándo cambia su stack y cuándo no.
DuckDB 2.0.0 llegó el 21 de octubre como versión de soporte a largo plazo y, por primera vez, puede ejecutarse como servidor en red, no solo como motor integrado. Explicamos cuándo ese modo servidor realmente tiene sentido, por qué la mayoría de los equipos debería seguir con el modo integrado, y el cambio en el formato de almacenamiento que puede romper una flota de versiones mixtas en la primera escritura.
La IA extrajo un bug de 20 años del núcleo de PHP. Ahora ejecuta código en su servidor. Parchee hoy.
Agentes de IA ayudaron a Wiz Research a descubrir dos vulnerabilidades de memoria de décadas en el núcleo de PHP, y el resultado es ejecución remota de código sin autenticación en prácticamente cualquier servidor que lo utilice. El equipo de PHP publicó parches de emergencia el 21 de octubre. Esto es quién está expuesto y qué parcheamos y reiniciamos primero.
Bun 1.4.3 incluye un verificador de tipos que supera a tsc. Aquí dónde gana y dónde no.
Bun 1.4.3 añadió bun check, un verificador de tipos de TypeScript integrado en el binario que es entre 3x y 6,4x más rápido que tsc 7.0.2 y reporta errores casi idénticos. Es una mejora real para CI, pero no tiene modo incremental, por lo que tsc en caliente sigue siendo más rápido en su equipo. Así es como lo decidiríamos.
El iPhone plegable llega el 23 de octubre: qué falla en su app y cómo solucionarlo
El primer iPhone plegable de Apple, el iPhone Duo, sale a la venta el 23 de octubre, y Xcode 27.1 incluye un nuevo conjunto de API de diseño adaptativo. Analizamos qué falla realmente en su app, los dos patrones que debe buscar primero y por qué esto es, en el fondo, una lección sobre dimensionar contra un contenedor en lugar de una pantalla.
Vite+ 1.0 fusiona siete herramientas JS en un solo comando. ¿Cuándo vale la pena ese cambio?
VoidZero lanzó Vite+ 1.0 el 28 de septiembre, unificando Vite, Vitest, Oxlint, Oxfmt y un gestor de tareas bajo un único comando `vp`. Es una ventaja real para proyectos nuevos y una decisión importante para los consolidados. Esta es nuestra valoración sobre cuándo adoptarlo y cuándo esperar.
Un fallo en las imágenes OG de Next.js puede ejecutar código en su servidor. Actualice a 16.3.6.
Vercel lanzó una actualización fuera de ciclo de Next.js el 22 de septiembre para corregir CVE-2026-94545, un fallo crítico de ejecución remota de código en `ImageResponse` de `next/og` para Node.js, con una puntuación CVSS de 9,5. Solo afecta a las aplicaciones que introducen valores controlados por el visitante en imágenes Open Graph dinámicas, pero eso describe la mayoría de las configuraciones de tarjetas de compartición. Aquí se explica quiénes están expuestos, por qué parchear únicamente el framework puede no ser suficiente, y qué comprobar hoy mismo.
Shopify abandona React Native en favor de Swift y Kotlin. El motivo no es lo que cree.
Shopify está reconstruyendo sus aplicaciones móviles en Swift y Kotlin, no porque React Native fuera lento, sino porque los agentes de IA cambiaron el coste de mantener dos bases de código. Esto es lo que los equipos de móvil deberían extraer realmente de esta decisión, y el truco de lógica headless que funciona con cualquier stack.
React 19.3 estabiliza las View Transitions. Activa Trusted Types de paso.
React 19.3 se publicó el 9 de septiembre de 2026, llevando View Transitions y Fragment Refs a estable y añadiendo soporte para Trusted Types y el escape hatch use(browser()). Esto es lo que los equipos de web, seguridad y móvil deberían hacer al respecto.
Una cuenta de backup de PostgreSQL ahora puede ejecutar código en su servidor. Parchee CVE-2026-6471.
PostgreSQL parchó CVE-2026-6471, una vulnerabilidad presente desde 2014 que permite a una cuenta REPLICATION con bajos privilegios cargar código arbitrario y tomar el control del host de la base de datos. La severidad oficial es 7,2, no crítica, porque requiere una cuenta que usan las herramientas de backup, las réplicas y los pipelines CDC. Aquí se explica cómo parchear, qué cambia la nueva lista de permitidos output_plugin_libraries, y qué cuentas de servicio auditar primero.