Blog
Perspectivas sobre desarrollo de software, seguridad y tecnología de nuestro equipo.
Un prototipo contaminado puede secuestrar su tráfico de axios. Actualice a 1.18.0.
axios acaba de divulgar CVE-2026-67320, una vulnerabilidad de contaminación de prototipos en su adaptador HTTP de Node.js que puede redirigir las solicitudes salientes de su servidor a través de un proxy controlado por un atacante y filtrar credenciales por HTTP en texto plano. Es un recordatorio contundente de que una dependencia que apenas configura sigue siendo superficie de ataque. Esto es lo que debe parchear, y lo que debe cambiar más allá del parche.
El compilador de React pasa a Rust, y Next.js 16.3 ya puede usarlo
El equipo de React reescribió el compilador de React en Rust, y Vercel lo integró en Turbopack. Next.js 16.3 registra una compilación de rutas entre un 20 y un 50% más rápida en el camino nativo. Analizamos si vale la pena activar el indicador experimental y cómo probarlo sin arriesgar producción.
Una solicitud POST basta para tomar el control de un sitio WordPress. Actualice a 7.0.2 hoy.
WordPress acaba de parchear wp2shell, una cadena de ejecución remota de código sin autenticación en el núcleo que convierte una sola solicitud manipulada en la toma completa de control de una instalación predeterminada. Afecta a las versiones 6.8 hasta la 7.0.1, y el código de exploit ya circula públicamente. Esto es lo que los equipos de web y seguridad deben hacer esta semana, y cómo verificar si ya fueron atacados.
El @State de SwiftUI ahora es un macro, y Xcode 27 romperá algunas de sus compilaciones
WWDC 2026 convirtió el @State de SwiftUI de un property wrapper en un macro. En Xcode 27, un patrón de init común ya no compila. El mínimo requerido por la App Store sigue siendo iOS 26, así que puede programar esta tarea con calma si empieza ahora.
Un fallo crítico en PhpSpreadsheet se saltó su propio parche
La corrección de PhpSpreadsheet para un fallo de deserialización phar fue eludida con una ruta que llevaba una barra extra. El nuevo fallo, CVE-2026-45034, es un crítico 9,2: ejecución remota de código completa en PHP 7.x y una primitiva de lectura de archivos en PHP 8.x. Así es como funciona el bypass y qué debería hacer su equipo esta semana.
TypeScript 7.0 es 10 veces más rápido y está escrito en Go. Así puede adoptarlo sin romper el CI.
Microsoft lanzó el Release Candidate de TypeScript 7.0 el 18 de junio de 2026, y el gran cambio es el compilador en sí, ahora escrito en Go y aproximadamente 10 veces más rápido que la versión 6.0. Es una migración, no una reescritura, por lo que las reglas de tipos se mantienen igual. La decisión inteligente es ejecutarlo como un trabajo de CI paralelo ahora y adoptarlo a su propio ritmo.
Node.js abandona el modelo par-impar. Cómo planificar sus actualizaciones ahora.
Node.js retira el modelo de versiones par-impar en el que los equipos de backend han confiado durante una década. A partir de la versión 27, hay un major al año, cada lanzamiento se convierte en LTS, y un nuevo canal Alpha de seis meses abre este octubre. Esto es lo que cambia si ejecuta Node en producción, y el único trabajo de CI que debe añadir ahora.
Redis 8.8 por fin tiene arrays nativos y un limitador de velocidad integrado. Esto es lo que puede hacer con ellos.
Redis 8.8 acaba de lanzarse con un tipo de dato array nativo e INCREX, un comando integrado de limitación de velocidad que reemplaza el Lua manual que la mayoría de los equipos utilizan hoy. Las características son genuinamente útiles, pero la decisión inteligente no es actualizar en viernes. Así es como lo abordaríamos para un cliente, y la auditoría que vale la pena hacer esta semana de todas formas.
Android es oficialmente Compose-first. Su aplicación basada en Views es ahora código heredado.
En Google I/O 2026, Google convirtió Jetpack Compose en la forma oficial de construir interfaces de usuario en Android y trasladó el kit de herramientas View al modo de mantenimiento. Para las muchas aplicaciones en producción que aún utilizan Views, esto convierte una pregunta de larga data en una decisión real. Así es como los equipos móviles deberían responder, sin reescribir todo de una vez.
Apple y Google acaban de hacer los móviles menos cautivos. Los equipos móviles necesitan un nuevo manual.
Esta semana se lanzó iOS 26.5 con transferencia inalámbrica a Android, cifrado de extremo a extremo para RCS y un nuevo nivel de suscripción en la App Store. Horas después, el Android Show I/O Edition 2026 de Google confirmó que la cooperación es mutua. El bloqueo de plataforma acaba de debilitarse, y eso cambia cómo los equipos móviles deben pensar sobre la retención y los precios.
Next.js acaba de parchear 13 avisos de seguridad. Los equipos con alojamiento propio tienen el mayor trabajo.
Vercel lanzó una actualización de seguridad coordinada el 7 de mayo: 13 avisos de Next.js y React Server Components que cubren DoS, SSRF, envenenamiento de caché y bypasses de middleware en App Router. Los equipos con alojamiento propio en Node son los más afectados. La conclusión más importante: el middleware nunca fue un límite de autorización.
Un agente de IA destruyó una base de datos de producción en 9 segundos. Esto es lo que salió mal.
Un agente de Cursor con Claude Opus 4.6 eliminó de forma autónoma toda la base de datos de producción y las copias de seguridad de una startup mediante una única llamada a la API. El incidente deja al descubierto fallos reales en la forma en que los equipos entregan a los agentes de IA el control de la infraestructura de producción.