Vulnerabilidades en RSC, V8 Sandbox y Green Tea en Go

Semana cargada de seguridad en el stack web: dos nuevas vulnerabilidades en React Server Components, la graduación del V8 Sandbox a producción, y el nuevo recolector de basura experimental de Go 1.25. También hay bastante movimiento alrededor de React (deprecaciones, compilador 1.0, nueva fundación) y varias herramientas para trabajar con agentes de IA.

Señales

• React descontinúa Create React App y recomienda alternativas modernas — El equipo de React deprecó oficialmente Create React App y recomienda migrar a herramientas como Vite, Parcel o RSBuild para nuevos proyectos.
• React Compiler alcanza su versión 1.0 — El React Compiler alcanzó su versión 1.0 estable, permitiendo optimizar automáticamente el rendimiento de apps React sin cambios manuales en el código.
• React v19 ya está disponible — React 19 ya está disponible oficialmente en npm con sus nuevas características, junto con una guía para adoptarlas en proyectos existentes.
• La Fundación React: Un nuevo hogar para React bajo el auspicio de la Linux Foundation — Se lanzó la Fundación React bajo el alojamiento de la Linux Foundation, un cambio de gobernanza que refuerza la sostenibilidad comunitaria del framework.
• llama.cpp: Ejecuta modelos de lenguaje localmente con máxima eficiencia — llama.cpp sigue ganando tracción (288 puntos en HN) como forma de correr LLMs localmente de manera optimizada, sin depender de APIs externas.
• Bun 1.4: Reescrito en Rust con automatización de navegador y nuevas APIs — Bun 1.4 llega reescrito en Rust, con automatización de navegador headless, nuevas APIs (imágenes, markdown, JSON5, cron), soporte Windows ARM64 y un virtual store hasta 7 veces más rápido para instalar dependencias.
• V8 Sandbox: Del experimental a la producción — Google graduó el V8 Sandbox a producción y lo integró al programa de recompensas de Chrome 123, clave porque la corrupción de memoria en V8 explica el 60% de los exploits de Chrome vistos entre 2021 y 2023.
• React v19 ya está disponible — React 19 se lanzó oficialmente en npm, con un repaso de sus principales características y cómo empezar a adoptarlas.
• Los agentes de código ahora pueden depurar Workers con trazas locales — Wrangler dev ahora genera trazas estructuradas por cada solicitud local, permitiendo que agentes de código depuren Workers sin necesidad de desplegar cambios.
• Reticulum – Redes de Malla Descentralizadas — Reticulum es una red de malla descentralizada para comunicaciones resilientes sin infraestructura centralizada, con buena tracción en Hacker News.
• Framework expone brecha de datos explotando vulnerabilidad 0-day en Metabase — Framework Computer reveló que sufrió una brecha de seguridad por una vulnerabilidad 0-day en Metabase, reabriendo el debate sobre divulgación responsable.
• Ejecutables Consultables: Una Nueva Forma de Inspeccionar Binarios — Una propuesta plantea tratar binarios compilados como estructuras de datos consultables para mejorar el debugging y la introspección de ejecutables.
• Acelera el desarrollo de CloudFormation con el servidor IaC MCP — AWS presentó un servidor IaC MCP que permite completar todo el ciclo de CloudFormation -autoría, validación, despliegue y troubleshooting- sin salir del asistente de IA.
• tf-arch-diagram-generator: Convierte tus planes de Terraform en diagramas interactivos — tf-arch-diagram-generator convierte planes de Terraform en diagramas interactivos de arquitectura, con soporte para AWS, GCP, Azure y multi-cloud.
• Cortex completa auditoría de seguridad de OSTIF — Cortex, el almacenamiento multi-tenant para Prometheus y OpenTelemetry, completó una auditoría de seguridad de OSTIF realizada por Quarkslab.
• Qodana Expande su Análisis de Seguridad con Reglas OpenGrep — Qodana, el análisis estático de JetBrains, suma reglas de OpenGrep para mejorar la detección de vulnerabilidades sin frenar los ciclos de desarrollo.
• Vulnerabilidad crítica de seguridad en React Server Components — Se descubrió una vulnerabilidad crítica de ejecución remota de código sin autenticación en React Server Components; hay que actualizar ya a las versiones 19.0.1, 19.1.2 o 19.2.1.
• Hugging Face lanza @huggingface/kernels: más de 200 kernels WebGPU para IA local — Hugging Face lanzó @huggingface/kernels, con más de 200 kernels WebGPU para correr modelos de IA con aceleración GPU directamente en el navegador.
• Novedades en Svelte: septiembre de 2026 — Svelte 5.57 suma nuevos métodos en SvelteMap y mejoras de DX, mientras SvelteKit 3 llega a Release Candidate y el CLI sv gana un plugin de herramientas de IA.
• Novedades en Svelte: febrero de 2026 — Svelte y SvelteKit suman soporte para personalizar <select> con CSS, exportan el parser CSS del compilador y mejoran shadow DOM, además de recordar parches de seguridad previos.
• Docker Sandboxes: Entornos aislados y desechables para agentes de IA — Docker lanzó sandboxes desechables y aislados pensados específicamente para ejecutar agentes de IA de forma segura, con buena respuesta en Hacker News.
• OpenClaw se vuelve viral: conoce a los desarrolladores que lo construyen y aseguran — OpenClaw se convirtió en el proyecto de más rápido crecimiento en la historia de GitHub; sus mantenedores comparten lecciones sobre gestión y seguridad a los seis meses.

Entre parches urgentes en React y una buena tanda de herramientas nuevas para agentes de IA, esta edición deja tarea concreta si trabajas con RSC o V8. Nos leemos pronto.