Progress ordena apagar Storage Zone Controllers de ShareFile por amenaza externa creíble
Progress Software (los mismos de MOVEit en 2023) confirmó a The Hacker News una 'amenaza externa creíble' y pidió a clientes de ShareFile apagar los servidores Windows que corren Storage Zone Controllers, deshabilitando temporalmente el servicio. El patrón huele a 0-day activamente explotado en gateway de transferencia de archivos empresarial — exactamente el vector de MOVEit/GoAnywhere que derivó en breaches masivos vía Cl0p. Blast radius alto: ShareFile es managed file transfer usado en healthcare, legal y finanzas. Acción: si operás Storage Zone Controllers, apagalos YA según el aviso, aislá los hosts y auditá logs de acceso antes de esperar el parche.
Leer nota completa
Compromiso del GitHub de Injective Labs publica paquete npm que roba private keys
Atacantes comprometieron el repositorio del SDK de Injective Labs en GitHub y publicaron una versión maliciosa en npm que exfiltra private keys y seed phrases de wallets cripto. Supply-chain clásico estilo event-stream/ua-parser: confiás en un SDK legítimo y te comés código malicioso vía dependencia transitiva. Blast radius acotado al ecosistema Injective/Web3 pero crítico — la exfiltración de mnemonics es irreversible y monetizable al instante. Acción: si tenés el SDK de Injective en tu lockfile, pineá a la última versión conocida-buena, auditá con `npm audit`/socket.dev, rotá cualquier key que haya tocado esos entornos y revisá CI por builds comprometidos.
Next.js 16.3: React Compiler en Rust, persistent file cache e Instant Navigations
Vercel cerró el ciclo 16.1→16.3 de Next.js. Turbopack 16.3 suma memory eviction en dev, persistent file cache para builds (reduce cold builds en apps grandes), React Compiler experimental reescrito en Rust e `import.meta.glob`. La feature de peso es Instant Navigations: trae responsividad SPA al modelo server-centric, atacando la crítica histórica al App Router. También estabilizaron la Adapter API (16.2) con test suite pública y working group, señal de que Vercel busca deployment consistente fuera de su plataforma (OpenNext). Acción: si estás en 16.x, probá persistent cache y Instant Navigations en un branch; el React Compiler en Rust sigue experimental, no lo metas en prod aún.
Qué significa el panorama y qué conviene tener en cuenta.
En una mirada
Día dominado por seguridad y el ciclo de releases de Next.js/Vercel. Progress ordenó apagar Storage Zone Controllers de ShareFile por amenaza activa. Supply-chain: comprometieron el GitHub de Injective Labs para publicar npm malicioso robando private keys. XQUIC (Alibaba, HTTP/3) tiene DoS remoto sin patch. Next.js 16.1→16.3 y Turbopack empujan React Compiler en Rust, persistent file cache e Instant Navigations. Vercel expande AI Gateway (GPT-5.6, Grok 4.5) y su Vercel Agent para producción. DeepSeek explora chips de inferencia propios.
Lo esencial
Prioridad 1: si tocás ShareFile Storage Zone Controllers, apagalos hoy y auditá; si tenés el SDK de Injective en algún lockfile, pineá y rotá keys. Prioridad 2: si servís HTTP/3 con XQUIC, aplicá rate-limiting ya que no hay patch. Prioridad 3 (dev): probá persistent file cache e Instant Navigations de Next.js 16.3 en un branch aislado.
Patrones del día
Supply-chain sobre registries y repos sigue siendo el vector dominante: compromiso de GitHub de Injective empujando npm malicioso, WP-SHELLSTORM backdooreando 1.4M sitios WordPress, y GitHub publicando guías defensivas (secret scanning inbox-zero, ownership de repos, 6 settings de seguridad). El punto débil no es tu código, es tu cadena de dependencias y accesos.
Vercel/Next.js empujan agresivamente el 'agentic dev loop': AGENTS.md en create-next-app, Skills first-party, MCP integration, Vercel Agent en producción, y AI Gateway sumando GPT-5.6 (Sol/Luna/Terra) y Grok 4.5. GitHub replica con Agentic Workflows y Copilot code review sobre herramientas Unix-style. Los frameworks se rediseñan pensando desde la perspectiva del agente, no solo del humano.
Contrapunto desde una sola fuente: el mantenedor de Linaria (6 años) declara muerto el runtime CSS-in-JS — styled-components en maintenance desde 2025, Server Components lo volvieron un dead-end estructural. Advertencia útil si aún dependés de CSS-in-JS runtime: la migración a zero-runtime o Tailwind dejó de ser opcional en el mundo RSC.
Claude Opus · Hacker News, dev.to, GitHub Blog, Next.js y TechCrunch. Análisis IA — puede contener errores.