Bad Epoll (CVE-2026-46242): LPE a root en kernel Linux y Android
Fallo en el subsistema epoll del kernel Linux que permite a un usuario sin privilegios escalar a root en desktops, servers y Android. Blast radius enorme: epoll es núcleo del I/O event loop, presente en prácticamente toda instalación Linux moderna. Cualquier código local (contenedor comprometido, app maliciosa Android, shell de bajo privilegio) puede tomar control total del host. Ya hay fix disponible. Acción: parchear YA en toda tu flota — nodos Kubernetes, hosts de CI, VMs de prod. Prioridad máxima para multi-tenant y entornos con ejecución de código no confiable. Revisá también el pipeline de updates de Android.
Leer nota completa
Next.js 16.3: Turbopack con cache persistente, React Compiler en Rust e Instant Navigations
Vercel liberó 16.3 con avances concretos en el build stack. Turbopack suma memory eviction en dev (menos OOM en apps grandes), file cache persistente entre builds (reduce cold builds) y una versión experimental del React Compiler reescrita en Rust (menos overhead de compilación). Instant Navigations trae responsividad tipo SPA al modelo server-centric, e import.meta.glob por fin llega a Turbopack. Impacto directo si ya migraste a App Router: builds más rápidos y menos fricción en dev. Acción: probá el file cache persistente en tu CI para medir reducción de tiempos; el React Compiler en Rust sigue experimental, esperá antes de meterlo en prod.
Paquetes npm ligados a Norcorea imitan tooling de Rollup polyfills para robar secrets
JFrog atribuyó a actores norcoreanos una nueva tanda de paquetes npm maliciosos ('rollup-packages-polyfill-core' y similares) que se hacen pasar por polyfills de Rollup para habilitar acceso remoto y exfiltrar secrets de desarrolladores. Es la misma táctica de typosquatting/impersonation que golpeó al ecosistema JS repetidamente: el paquete se cuela vía dependencia transitiva o error de tipeo y roba credenciales, tokens y env vars. Impacto directo para cualquier dev JS/TS que instale sin auditar. Acción: verificá lockfiles, activá npm audit y secret scanning, y bloqueá instalación de paquetes recién publicados sin reputación. GitHub reporta en paralelo volumen récord de CVEs en su Advisory Database.
Qué significa el panorama y qué conviene tener en cuenta.
En una mirada
Día dominado por seguridad Linux y supply chain. Bad Epoll (CVE-2026-46242) permite LPE a root en Linux/Android; FatFs acumula 7 fallos sin parche en millones de embedded. North Korea vuelve a envenenar npm imitando Rollup polyfills. En frameworks, Next.js 16.3 mete Turbopack con file cache persistente, React Compiler experimental en Rust e Instant Navigations. GitHub reporta volumen récord de CVEs en su Advisory Database. Google degrada la red de proxies residenciales NetNut (2M dispositivos). Ruido notable: spam de listicles IA y cuentas 'verificadas' en dev.to.
Lo esencial
Parcheá Bad Epoll (CVE-2026-46242) en toda tu flota Linux/K8s/CI esta semana — es LPE a root con fix disponible y superficie universal. En paralelo, auditá dependencias npm y rotá secrets ante la campaña norcoreana, y si estás en App Router, probá el file cache persistente de Turbopack 16.3 en tu CI para medir ganancia real.
Patrones del día
Supply chain sobre ecosistema JS sigue siendo vector predilecto: npm envenenado por Norcorea (impersonation de Rollup), GitHub reportando volumen récord de CVEs en su Advisory Database y su push de secret scanning a 'inbox zero'. El registro npm sigue siendo superficie de ataque de bajo costo y alto retorno.
El stack de frameworks se reorienta hacia agentes IA: Next.js 16.3/16.2 con AGENTS.md, Skills, browser log forwarding y errores con prompts paste-ready; Vercel sumando Agent Runs en MCP/CLI y konsistent para linting agent-friendly. El tooling ahora se diseña pensando en el agente como consumidor de primera clase, no solo el humano.
Contracorriente: un estudio (okaneland) sostiene que la IA ahorra ~3% de horas y casi nada llega a resultados económicos reales, y una review independiente de 4 asistentes de código matiza el hype del '10x'. Señal útil contra las proyecciones infladas de ROI que dominan los anuncios corporativos (ej: Microsoft y sus $2.5B).
Claude Opus · Hacker News, dev.to, GitHub Blog, Next.js y TechCrunch. Análisis IA — puede contener errores.