Backend & Fullstack

Backend & Fullstack Daily — Jun 23, 2026

Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Breaking

Node.js parchea 12 CVEs en sus tres líneas — 2 de severidad HIGH

El 18 de junio Node.js publicó 22.23.0, 24.17.0 y 26.3.1 con 12 CVEs en WebCrypto, TLS, HTTP/2, HTTP, DNS y el Permission Model. Las dos HIGH: CVE-2026-48933 (overflow de entero en subtle.encrypt() con inputs múltiplos de 2 GiB → DoS) y CVE-2026-48618 (manejo de separadores Unicode en verificación de hostname TLS → bypass de wildcard). También bumps de llhttp, nghttp2 y openssl 3.5.7. Ojo: actualizá YA, varias tocan autenticación TLS/mTLS.

18 Jun 2026
nodejs.org →
Release

TypeScript 7.0 RC: el compilador nativo en Go ya está en npm

El 18 de junio Microsoft publicó el Release Candidate de TypeScript 7.0 (Project Corsa). El cambio es uno solo, pero enorme: todo el compilador y el language service reescritos de TypeScript a Go, con paralelismo de memoria compartida. Resultado: ~10x más rápido que 6.0 — type-checks de minutos pasan a segundos. Se instala con npm install -D typescript@rc y la GA estimada es ~1 mes. Esto es un golazo para la DX en monorepos grandes; arrancá la prueba de CI desde ahora.

18 Jun 2026
devblogs.microsoft.com →
Seguridad

Ataque a la cadena de suministro: 140+ paquetes de Mastra con un RAT

El 17 de junio, una cuenta npm no-mantenedora publicó 144 versiones maliciosas en 88 minutos en la org @mastra. El payload se escondía un nivel abajo, en easy-day-js, un typosquat de dayjs que clonaba autor, repo y licencia verbatim. Trae un postinstall ofuscado (Base64 de alfabeto custom + XOR) que corre en npm install y baja un RAT multiplataforma: persistencia a nivel OS, inventario de 166 extensiones de wallets, robo de historial de Chrome/Brave/Edge y canal remoto. Solo @mastra/core tiene 918k descargas semanales. Socket lo flageó a los 6 minutos. Es la última ola del linaje Shai-Hulud / Miasma. Si usás Mastra, auditá lockfiles y rotá credenciales YA.

17 Jun 2026
socket.dev →
☁️

Cloud & DevOps

Destacado

Cloudflare suma GLM-5.2 (Z.ai) a Workers AI como modelo agéntico Day-0

El 16 de junio Cloudflare lanzó GLM-5.2 de Z.ai en Workers AI: modelo agéntico para coding con function calling y reasoning. Contexto de 262.144 tokens de arranque (el modelo soporta hasta 1M) y output cap de 131K — refactors multi-archivo de una. Accesible vía binding env.AI.run(), REST /v1/chat/completions o AI Gateway. En la misma tanda, Wrangler suma deploys temporales (--temporary) sin login para agentes con preview de 60 minutos. Para backend en el edge, tener un modelo de coding largo pegado al runtime es interesante.

16 Jun 2026
developers.cloudflare.com →
🗄️

Databases & Data

Release

DigitalOcean lanza Managed Caching para Valkey

El 17 de junio DigitalOcean anunció Managed Caching para Valkey, su evolución del caché administrado sobre el fork open-source de Redis impulsado por la Linux Foundation. Valkey viene en racha: superó los 100M de pulls en Docker (17x interanual) a sus dos años. Para quienes huyeron del cambio de licencia de Redis, tener Valkey administrado en otro cloud más reduce el lock-in. Si seguís pagando Redis Enterprise sin necesitar sus extras, ponete las pilas y mirá la migración.

17 Jun 2026
digitalocean.com →
🏗️

Architecture & Best Practices

Destacado

Estrategia de monorepos 2026: Turborepo vs Nx, y el 63% que ya migró

Un análisis del 16 de junio pone números a la decisión: ~63% de las empresas con 50+ devs ya corren monorepos. La regla práctica: Turborepo gana en simplicidad (caché rápido, config mínima), Nx gana en poder (generadores, affected detection). En un benchmark de CT en una máquina, Nx terminó en 21m56s vs 25m32s de Turborepo (~16% más lento). Y pnpm workspaces sigue siendo la opción liviana sin tooling extra. El mensaje para un senior: no es Turbo vs Nx en abstracto — es complejidad del repo vs costo de mantenimiento del tooling. Elegí por la curva de tu equipo, no por el benchmark.

16 Jun 2026
digitalapplied.com →
🔗

Fullstack

Minor

Nx corre hoy su conferencia online gratuita «AI ♥ Monorepos»

Hoy 23 de junio Nx realiza su conferencia online gratuita «AI ♥ Monorepos», centrada en cómo los agentes de IA y los monorepos se potencian: contexto compartido, affected graph para acotar lo que un agente toca, y generación de código con límites de arquitectura. Charla útil para quien arma tooling fullstack con asistentes de código en repos grandes. Buen complemento al debate Turbo vs Nx de arriba.

23 Jun 2026
nx.dev →
🔥

Top Stories

Breaking

Node.js patches 12 CVEs across all three lines — 2 rated HIGH

On June 18 Node.js shipped 22.23.0, 24.17.0 and 26.3.1 fixing 12 CVEs across WebCrypto, TLS, HTTP/2, HTTP, DNS and the Permission Model. The two HIGH: CVE-2026-48933 (integer overflow in subtle.encrypt() on inputs that are multiples of 2 GiB → DoS) and CVE-2026-48618 (Unicode dot-separator handling in TLS hostname verification → wildcard auth bypass). Also bumps to llhttp, nghttp2 and openssl 3.5.7. Patch now — several touch TLS/mTLS authentication.

18 Jun 2026
nodejs.org →
Release

TypeScript 7.0 RC: the Go-native compiler lands on npm

On June 18 Microsoft published the TypeScript 7.0 Release Candidate (Project Corsa). One change, but a massive one: the entire compiler and language service reimplemented from TypeScript into Go, with shared-memory parallelism. Result: ~10x faster than 6.0 — multi-minute type-checks drop to single-digit seconds. Install via npm install -D typescript@rc; GA estimated ~1 month out. A huge DX win for large monorepos — start your CI rehearsal now.

18 Jun 2026
devblogs.microsoft.com →
Security

Supply-chain attack: 140+ Mastra packages backdoored with a RAT

On June 17, a non-maintainer npm account mass-published 144 malicious versions in 88 minutes across the @mastra org. The payload hid one level down in easy-day-js, a typosquat of dayjs that copied author, repo and license verbatim. It carries an obfuscated postinstall (custom-alphabet Base64 + XOR) that runs on npm install and drops a cross-platform RAT: OS-level persistence, inventory of 166 wallet extensions, Chrome/Brave/Edge history theft and a remote channel. @mastra/core alone sees 918k weekly downloads. Socket flagged it within 6 minutes. It is the latest wave of the Shai-Hulud / Miasma lineage. If you use Mastra, audit lockfiles and rotate credentials now.

17 Jun 2026
socket.dev →
☁️

Cloud & DevOps

Notable

Cloudflare adds GLM-5.2 (Z.ai) to Workers AI as a Day-0 agentic model

On June 16 Cloudflare launched Z.ai's GLM-5.2 on Workers AI: an agentic coding model with function calling and reasoning. 262,144-token context at launch (model supports up to 1M) and a 131K output cap — multi-file refactors in one shot. Reachable via the env.AI.run() binding, REST /v1/chat/completions or AI Gateway. Same batch: Wrangler adds temporary login-less deploys (--temporary) with a 60-minute preview account for agents. For edge backends, a long-codebase coding model glued to the runtime is worth a look.

16 Jun 2026
developers.cloudflare.com →
🗄️

Databases & Data

Release

DigitalOcean ships Managed Caching for Valkey

On June 17 DigitalOcean announced Managed Caching for Valkey, its evolution of managed caching on the Linux Foundation-backed open-source Redis fork. Valkey is on a roll: it crossed 100M Docker pulls (17x year over year) at its two-year mark. For teams that fled Redis's license change, managed Valkey on yet another cloud cuts lock-in further. If you still pay for Redis Enterprise without needing its extras, take a hard look at the migration.

17 Jun 2026
digitalocean.com →
🏗️

Architecture & Best Practices

Notable

Monorepo strategy 2026: Turborepo vs Nx, and the 63% that already moved

A June 16 analysis puts numbers on the call: ~63% of companies with 50+ devs now run monorepos. Rule of thumb: Turborepo wins on simplicity (fast cache, minimal config), Nx wins on power (generators, affected detection). In a single-machine CI benchmark Nx finished in 21m56s vs Turborepo's 25m32s (~16% slower). And pnpm workspaces remains the lightweight, no-extra-tooling option. The senior takeaway: it is not Turbo vs Nx in the abstract — it is repo complexity vs tooling maintenance cost. Choose for your team's curve, not the benchmark.

16 Jun 2026
digitalapplied.com →
🔗

Fullstack

Minor

Nx runs its free online «AI ♥ Monorepos» conference today

Today June 23 Nx is running its free online «AI ♥ Monorepos» conference, focused on how AI agents and monorepos reinforce each other: shared context, the affected graph to scope what an agent touches, and code generation within architectural boundaries. Useful for anyone wiring fullstack tooling with coding assistants in large repos. A good companion to the Turbo vs Nx debate above.

23 Jun 2026
nx.dev →
🔥

Top Stories

Breaking

Node.js corrige 12 CVE sur ses trois lignes — 2 classées HIGH

Le 18 juin Node.js a publié 22.23.0, 24.17.0 et 26.3.1 corrigeant 12 CVE dans WebCrypto, TLS, HTTP/2, HTTP, DNS et le Permission Model. Les deux HIGH : CVE-2026-48933 (dépassement d'entier dans subtle.encrypt() → DoS) et CVE-2026-48618 (gestion des séparateurs Unicode en TLS → contournement wildcard). Mises à jour aussi de openssl 3.5.7. Patchez maintenant.

18 Jun 2026
nodejs.org →
Release

TypeScript 7.0 RC : le compilateur natif en Go débarque sur npm

Le 18 juin Microsoft a publié la Release Candidate de TypeScript 7.0 (Project Corsa). Un seul changement, mais énorme : tout le compilateur réimplémenté de TypeScript vers Go, avec parallélisme à mémoire partagée. Résultat : ~10x plus rapide que 6.0. Installation via npm install -D typescript@rc ; GA estimée à ~1 mois.

18 Jun 2026
devblogs.microsoft.com →
Sécurité

Attaque chaîne d'approvisionnement : 140+ paquets Mastra avec un RAT

Le 17 juin, un compte npm non-mainteneur a publié 144 versions malveillantes en 88 minutes dans l'org @mastra. Le payload se cachait dans easy-day-js, un typosquat de dayjs. Un postinstall obfusqué dépose un RAT multiplateforme : persistance OS, inventaire de 166 extensions de wallets, vol d'historique. Socket l'a détecté en 6 minutes. Dernière vague de la lignée Shai-Hulud / Miasma.

17 Jun 2026
socket.dev →
☁️

Cloud & DevOps

Notable

Cloudflare ajoute GLM-5.2 (Z.ai) à Workers AI en modèle agentique Day-0

Le 16 juin Cloudflare a lancé GLM-5.2 de Z.ai sur Workers AI : modèle agentique de coding avec function calling et reasoning. Contexte de 262 144 tokens au lancement (jusqu'à 1M) et output de 131K. Accessible via le binding env.AI.run(), REST ou AI Gateway. Wrangler ajoute aussi des déploiements temporaires sans login (--temporary).

16 Jun 2026
developers.cloudflare.com →
🗄️

Databases & Data

Release

DigitalOcean lance Managed Caching pour Valkey

Le 17 juin DigitalOcean a annoncé Managed Caching pour Valkey, son évolution du cache managé sur le fork open-source de Redis soutenu par la Linux Foundation. Valkey a dépassé les 100M de pulls Docker (17x en un an). Pour ceux qui ont fui le changement de licence de Redis, un Valkey managé de plus réduit le lock-in.

17 Jun 2026
digitalocean.com →
🏗️

Architecture & Best Practices

Notable

Stratégie monorepo 2026 : Turborepo vs Nx, et les 63% déjà migrés

Une analyse du 16 juin chiffre la décision : ~63% des entreprises de 50+ devs utilisent des monorepos. Règle : Turborepo pour la simplicité, Nx pour la puissance (générateurs, affected detection). En CI mono-machine, Nx finit en 21m56s vs 25m32s pour Turborepo. pnpm workspaces reste l'option légère. Choisissez selon la courbe de votre équipe.

16 Jun 2026
digitalapplied.com →
🔗

Fullstack

Mineur

Nx organise aujourd'hui sa conférence gratuite «AI ♥ Monorepos»

Aujourd'hui 23 juin Nx organise sa conférence en ligne gratuite «AI ♥ Monorepos», centrée sur la synergie entre agents IA et monorepos : contexte partagé, affected graph pour limiter ce qu'un agent touche, et génération de code dans des limites d'architecture. Utile pour le tooling fullstack avec assistants de code dans de gros repos.

23 Jun 2026
nx.dev →